Ledger, Coldcard : les fabricants de portefeuilles matériels visés sur deux fronts en une semaine

Les portefeuilles matériels sont conçus pour mettre les clés privées hors de portée des pirates. Cette semaine, deux fabricants ont pourtant été visés, par deux voies très différentes : un implant physique glissé dans des appareils Ledger distribués par un revendeur, puis un lien d’hameçonnage publié sur le compte X officiel de Coldcard. Dans les deux cas, ce n’est pas la cryptographie qui a cédé, mais un maillon périphérique.

Ledger : ce qui est confirmé, ce qui ne l’est pas

Ledger a confirmé le 10 octobre qu’au moins un appareil vendu par CryptoBilis, revendeur agréé actif en Indonésie, en Malaisie et aux Philippines, contenait un implant matériel non autorisé donnant accès à la phrase de récupération. Le fabricant affirme que ses propres systèmes et ses canaux de vente directe ne sont pas touchés. CryptoBilis a cessé ses activités dans l’attente de l’enquête.

Une fourchette de pertes, pas un chiffre

Aucun bilan officiel n’existe. Les estimations d’analystes indépendants vont d’environ 72 millions de dollars (tanuki42) à 93,4 millions (Yfarmx), le chercheur Specter évoquant plus de 86 millions. Selon Crypto Briefing, environ 70 millions de dollars étaient détenus en USDT sur Tron, et Tether a gelé près de 10 millions de dollars liés à l’incident. Ledger n’a validé aucun de ces chiffres.

La consigne aux revendeurs

Ledger demande aux revendeurs de ne jamais remettre en vente un produit retourné. Cette consigne vise précisément le scénario le plus redouté : un appareil rendu, modifié, puis revendu comme neuf à un nouveau client qui n’a aucun moyen visuel de détecter l’altération.

Un signalement en Europe, non confirmé

Le 11 octobre, un utilisateur identifié sur X sous le nom de Johannes a publié la photo d’un implant découvert dans un portefeuille Ledger qu’il dit avoir acheté environ deux semaines plus tôt, chez une enseigne d’électronique européenne. Selon Bitcoin.com, l’appareil aurait passé les contrôles d’authenticité logiciels, et les fonds de l’utilisateur n’ont pas été déplacés.

Ce cas n’est pas confirmé. Ledger maintient que tous les cas vérifiés concernent des appareils vendus par CryptoBilis, et indique revoir ses contrôles sur les revendeurs agréés. La distinction est importante : un signalement non vérifié n’établit pas une extension de l’attaque à l’Europe, mais il montre que la frontière de l’enquête est mise à l’épreuve.

Coldcard : un lien de phishing sur le compte officiel

Le dimanche 11 octobre, un lien d’hameçonnage est apparu sur le compte X officiel de Coldcard. La publication a été supprimée. L’entreprise indique utiliser une double authentification hors ligne et un accès très restreint à ce compte depuis 2017, et enquête sur la manière dont le message a pu être publié. Elle demande de ne pas ouvrir le lien et rappelle que son seul site officiel est coldcard.com.

Les réflexes à adopter

Ces deux incidents rappellent que la sécurité d’un portefeuille matériel dépend aussi de tout ce qui l’entoure :

• L’achat : privilégiez la boutique officielle du fabricant. Méfiez-vous des prix anormalement bas et des emballages qui semblent avoir été ouverts.
• La configuration : générez toujours vous-même une nouvelle phrase de récupération. Un appareil livré avec une phrase préremplie doit être considéré comme compromis.
• La communication : aucun fabricant ne vous demandera votre phrase de récupération. Vérifiez l’adresse d’un site avant toute action, même si le lien provient d’un compte officiel.
• Les clients de CryptoBilis : suivez les consignes de Ledger. Ne configurez pas un appareil non utilisé, et transférez vos fonds vers une nouvelle phrase de récupération générée sur un appareil sain.

Sources : Ledger (via Crypto Briefing et Bitcoin.com), The Defiant, The Block, Cointelegraph.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.