L'alerte émane du chercheur en blockchain "Specter," qui chiffre les pertes liées à cette attaque bien particulière à 86 millions de dollars. Ledger confirme de son côté qu'au moins un appareil compromis intégrait un composant matériel non autorisé.

Ce dispositif espion, intégré semble t-il après la fabrication du portefeuille (carte ou clé USB), mais avant sa vente au client final, permet l'interception et le vol des actifs numériques stockés sur les portefeuilles cryptos.

En réaction, le revendeur CryptoBilis a décidé de geler l'intégralité de ses ventes de portefeuilles matériels le temps de l'enquête.

L'équipe de sécurité de Ledger dit par ailleurs collaborer avec les autorités pour identifier l'origine de cette manipulation physique sur la chaîne logistique. L'infrastructure de sécurité interne de Ledger n'est pas compromise, affirme également la société.

Côté lutte contre la fraude, la détection de ce type d'attaque se heurte aux limites actuelles des vérifications logicielles. L'application My Ledger effectue en effet un contrôle cryptographique lors de la connexion d'un appareil.

Et c'est cette procédure qui valide la clé secrète contenue dans la puce Secure Element. Mais Ledger précise que ce système ne peut pas repérer les modifications physiques externes, comme l'ajout d'un implant espion sur la clé, si la puce d'origine reste intacte.

Ce processus ne garantit donc pas l'intégrité de l'appareil face à une altération matérielle survenue lors de sa distribution.

Ledger limite le périmètre de l'incident aux seules clés distribuées par le revendeur CryptoBilis. L'entreprise demande par ailleurs à ses clients d'appliquer un protocole d'isolation pour les achats effectués au cours des 90 derniers jours :

• Ne pas initialiser les appareils neufs achetés via ce canal.
• Transférer rapidement les fonds vers un nouveau portefeuille matériel et ce en générant une nouvelle phrase de récupération pour les appareils déjà configurés.
• Considérer comme compromise toute phrase de récupération partagée avec un tiers.

« Votre phrase de récupération doit être générée par votre appareil lors de sa configuration, et notée par vous-même », précise l'alerte. L'entreprise ajoute qu'une distribution sécurisée exige de s'approvisionner exclusivement via les canaux officiels ou le réseau de revendeurs autorisés.

Cet incident illustre le risque inhérent à l'achat de matériel cryptographique par des réseaux de distribution. Par ailleurs, si les attaques de supply chain via la couche logicielle sont déjà relativement bien documentés, cette affaire illustre un nouveau phénomène, où des composants matériels espions sont dissimulés dans le matériel informatique lors de la phase de distribution.