Ledger : l’implant espion débarque en Europe, des appareils piégés vendus chez MediaMarkt
Le froid se réchauffe. L’affaire des Ledger truquées ne restait-elle donc pas cantonnée en Asie du Sud-Est ? Visiblement non. Un utilisateur européen affirme avoir trouvé le même implant matériel dans deux appareils achetés en magasin chez MediaMarkt, et réclame un rappel produit immédiat. De quoi donner des sueurs froides à tous ceux qui ont acheté leur wallet hors boutique officielle, alors que le butin asiatique franchit les 100 millions de dollars.
Les points clés de cet article :
- Un utilisateur connu sous le pseudo Johannes affirme avoir trouvé un implant espion dans deux Ledger. Les deux appareils venaient de deux magasins MediaMarkt différents, le second acheté ce lundi même.
- Les modifications relevées sont identiques à celles des appareils asiatiques, câbles additionnels et module LTE compris. Un problème d’approvisionnement étendu se dessine, plutôt qu’un incident isolé.
- Les registres du magasin pointent vers Aqipa GmbH comme distributeur, une société qui approvisionne l’Europe entière. Un employé assure par ailleurs que l’appareil n’était pas un retour client.
- Johannes réclame un rappel produit immédiat. Les deux appareils partent à l’analyse, chez Mark Karpelès pour l’un, chez Ledger pour l’autre.
Deux magasins, deux appareils, le même espion
C’est par une mise à jour publiée ce lundi sur X que Johannes confirme les soupçons qu’il avait lui-même soulevés la semaine dernière, avec un premier appareil acheté dans un autre magasin MediaMarkt. En effet, il vient d’acheter un second appareil dans un autre magasin MediaMarkt, avec déballage filmé à l’appui. Bilan : du spyware, encore une fois. Or, le schéma est identique à celui des Ledger truqués découverts en Asie, avec les mêmes modifications internes, câbles supplémentaires et module LTE compris. De ce fait, le problème toucherait potentiellement les stocks de MediaMarkt et Saturn, soit plus de 1 000 magasins dans 11 pays.
« La chaîne d’approvisionnement Ledger est compromise en Europe également. Ledger devrait lancer un rappel produit immédiat pour protéger les utilisateurs. »
L’hypothèse du retour client resservi comme neuf a d’abord traversé son esprit. Toutefois, un employé de MediaMarkt a démenti cette piste. L’appareil acheté n’était pas un retour, et les Ledger renvoyés repartent directement chez le fabricant. Reste donc la piste logistique. Les registres du magasin montrent que le stock provient d’Aqipa GmbH, distributeur que le CTO de Ledger n’a pas confirmé sur le champ comme intermédiaire direct entre le fabricant et MediaMarkt, mais qui semble bien jouer ce rôle. Or, Aqipa distribue à travers toute l’Europe. Autrement dit, n’importe quel magasin physique alimenté par ce canal pourrait être concerné.
Pour rappel, l’affaire a commencé en Asie du Sud-Est, où des wallets vendus par le revendeur officiel CryptoBilis ont été vidés de leurs fonds. Le revendeur avait même changé de propriétaire avant les vols. En pratique, les implants dissimulés dans l’espace normalement occupé par le rembourrage de l’écran embarquent un microcontrôleur, un module cellulaire LTE, une antenne et une eSIM. De quoi lire la seed phrase affichée à l’initialisation, puis l’envoyer par réseau mobile. De quoi vider des wallets sans qu’aucun utilisateur ne signe quoi que ce soit.
Un rappel produit réclamé, Ledger reste prudent
Johannes ne se contente pas d’alerter, puisqu’il agit aussi. D’un côté, le premier appareil est parti pour analyse vers Mark Karpelès, l’ancien patron de Mt. Gox qui a aidé à documenter les implants asiatiques. De l’autre, le second rejoint les équipes de Ledger. Son message se termine par un conseil simple : si vous avez acheté votre Ledger ailleurs que sur la boutique officielle, vérifiez votre appareil. Cela dit, aucun vol de fonds n’est pour l’instant rapporté sur l’appareil européen. L’implant était peut-être inopérant, ou bien en attente d’activation à plus grande échelle.
De son côté, Ledger maintient que le volume d’appareils impactés reste limité. Le fabricant confirme pour l’heure un implant dans des appareils liés au canal CryptoBilis uniquement. Néanmoins, aucun lien officiel n’est établi entre l’appareil européen et la campagne asiatique. Une prudence qui risque toutefois de tenir difficilement si d’autres achats en Europe révèlent les mêmes modifications. L’affaire relance en tout cas une question que le secteur croyait enterrée : peut-on encore faire confiance à un hardware wallet simplement parce qu’il vient d’un magasin officiel ? Une interrogation d’autant plus vive que le Trésor américain vient d’enterrer sa règle de 2020 sur les wallets non hébergés, laissant chaque utilisateur seul maître de sa sécurité. Les prochains jours nous le diront.
Renaud H.
Ingénieur en software et en systèmes distribués de formation, passionné de cryptos depuis 2013. Touche à tout, entre mining et développement, je cherche toujours à en apprendre plus sur l’univers des cryptomonnaies et à partager le fruit de mes recherches à travers mes articles.