L'incident d'altération de portefeuille Ledger concerne une implantation matérielle non autorisée confirmée dans un appareil affecté, liée à un canal de revendeur signalé. Cela ne signifie pas que tous les portefeuilles Ledger ou les systèmes de Ledger ont été compromis.
Un appareil modifié pourrait exposer la phrase de récupération lors de la configuration. Achetez auprès d'une source fiable et n'entrez jamais une phrase que quelqu'un d'autre vous a donnée.
Ce que l'enquête a confirmé jusqu'à présent
Ledger a confirmé qu'un appareil appartenant à un utilisateur affecté contenait une implantation matérielle non autorisée. C'est une découverte sérieuse, mais elle est plus limitée que de dire que tous les appareils Ledger, tous les revendeurs ou les systèmes de production de Ledger ont été compromis.
Des rapports médiatiques ont lié les appareils affectés à un canal de revendeur et ont cité des pertes supérieures à 86 millions de dollars.
Ces chiffres de pertes restent des estimations rapportées pendant que les enquêtes se poursuivent, ils ne doivent donc pas être présentés comme un total audité final. Le rapport de The Verge résume les conclusions sur les appareils signalés et la réponse de Ledger.
Un portefeuille matériel conserve les clés hors ligne, mais il n'élimine pas tous les risques. Un appareil peut garder les clés privées hors ligne, tout en étant altéré avant la livraison.
Un acheteur peut également être trompé pour partager la phrase de récupération. Il s'agit d'un problème de chaîne d'approvisionnement et de configuration.
Cela ne signifie pas que tous les portefeuilles matériels sont dangereux.
Pourquoi l'écran de configuration est plus important que l'emballage
Une phrase de récupération est un ensemble de mots qui peuvent restaurer un portefeuille. Quiconque possède la phrase peut potentiellement voler les fonds.
Lors d'une configuration normale, la phrase doit être générée par l'appareil et écrite par le propriétaire. Un vendeur, un agent de support, un site Web ou un « aide » ne devrait jamais demander au propriétaire de lui envoyer la phrase.
Certains acheteurs se concentrent sur le film plastique ou un sceau. Ces vérifications peuvent aider, mais elles ne prouvent pas qu'un appareil est authentique.
Les propres instructions de Ledger sur l'authenticité des appareils expliquent que les sceaux visuels peuvent être copiés et qu'une vérification logicielle de l'authenticité a des limites : elle peut ne pas détecter toutes les modifications physiques. Cela ne rend pas l'authentification inutile.
Cela signifie que les propriétaires doivent combiner des vérifications officielles avec une routine de configuration sûre et un canal d'achat fiable.
Si un appareil arrive avec une phrase de récupération déjà imprimée, demande à l'utilisateur d'entrer une phrase fournie par le vendeur, ou dirige l'utilisateur vers un site Web non officiel, arrêtez-vous. N'entrez pas les mots de portefeuille existants dans l'appareil.
Ne scannez pas les codes QR de configuration qui mènent à un domaine inconnu. Contactez le fabricant via l'adresse tapée manuellement depuis son site Web officiel, et demandez au vendeur de confirmer l'origine de l'appareil.
Ce que les propriétaires actuels peuvent faire sans paniquer
- Vérifiez si l'achat provient de Ledger ou d'un revendeur mentionné dans les mises à jour officielles actuelles de l'incident. Gardez l'e-mail de commande et les informations de série de l'appareil à portée de main.
- Consultez la page d'incident la plus récente du fabricant et utilisez uniquement l'application officielle téléchargée depuis son site Web ou sa liste d'applications vérifiées.
- Si l'appareil fait partie du groupe affecté, ou si le comportement de configuration semble inhabituel, ne l'utilisez pas pour accéder à un portefeuille de grande valeur. Déplacez les fonds vers un nouveau portefeuille créé sur un appareil fiable, en suivant les instructions officielles.
- Si une phrase de récupération a pu être exposée, considérez-la comme compromise. Créer une nouvelle adresse n'est pas suffisant si l'ancienne phrase contrôle toujours les fonds ; transférez les actifs vers un portefeuille nouvellement généré.
Méfiez-vous des « aides à la récupération » non sollicitées. Une personne qui contacte une victime après un incident public pourrait essayer de voler la même phrase de récupération une seconde fois. Le vrai support n'a pas besoin de la phrase.
Personne ne peut annuler un transfert sur la chaîne simplement parce que le propriétaire le signale.
Comment lire l'impact sur le marché
Un incident comme celui-ci peut rendre les gens moins confiants dans les portefeuilles matériels. Il peut également affecter les entreprises liées à la crypto.
Pour le BTC, l'effet direct est généralement limité, sauf si l'événement provoque des ventes massives, des dépôts sur les bourses ou une perte de confiance plus large dans l'infrastructure crypto. Les règles du réseau Bitcoin sont distinctes de la sécurité d'un appareil matériel tiers.
Les traders peuvent surveiller le prix du BTC, les flux des bourses et si les rapports s'étendent au-delà d'un seul canal de revendeur avant de supposer un effet sur l'ensemble du marché.
Pour une référence simple du marché, Tapbit liste un marché perpétuel BTC-USDT. Il s'agit d'un contrat Bitcoin, pas d'un produit lié à l'incident Ledger. Un trader qui l'examine doit vérifier les conditions actuelles du contrat, la marge, le financement et le prix de liquidation avant de passer un ordre.
Comment les organisations peuvent réduire le risque de chaîne d'approvisionnement
Pour un ménage, acheter directement auprès du fabricant est souvent le moyen le plus simple de réduire l'incertitude.
Une entreprise détenant des actifs clients peut également tenir un inventaire des appareils, enregistrer d'où provient chaque unité et exiger qu'une deuxième personne vérifie la configuration avant que les fonds ne soient déposés.
Ces vérifications ne rendent pas l'altération impossible, mais elles facilitent la détection d'un appareil inhabituel avant qu'il ne protège un portefeuille de grande valeur.
Les entreprises peuvent configurer les appareils sur un ordinateur séparé et restreindre l'accès aux sauvegardes de récupération. Elles devraient également tester la récupération du portefeuille avec une petite quantité d'abord.
Le test confirme que le propriétaire comprend la sauvegarde sans exposer le portefeuille principal. Si un incident est suspecté, enregistrez le modèle, le vendeur, les détails de série et les étapes de configuration, puis signalez via les canaux officiels.
Ces enregistrements peuvent aider à montrer si le problème est limité à un seul vendeur ou lot.
Créez un compte Tapbit pour explorer les marchés disponibles.
Produit Tapbit et étapes de trading
Le marché BTC-USDT de Tapbit suit le BTC, pas la sécurité du portefeuille ou le sujet quantique de cet article. Lisez le guide des futures et examinez les conditions du contrat en direct avant de trader.
- Inscrivez-vous ou connectez-vous et préparez l'USDT.
- Ouvrez BTC-USDT et examinez le contrat, le mode de marge, l'effet de levier et le calendrier de trading.
- Sélectionnez long ou short, le type d'ordre, la taille de la position et les niveaux de stop-loss ou de take-profit.
- Vérifiez les frais, la marge et le prix de liquidation avant de confirmer ; surveillez la position et fermez-la selon votre plan.
FAQ
Cela signifie-t-il que tous les appareils Ledger sont dangereux ?
Non. La découverte d'une implantation confirmée concerne un appareil affecté ; suivez les instructions actuelles de Ledger concernant l'incident et vérifiez votre propre parcours d'achat.
Le support devrait-il jamais demander ma phrase de récupération ?
Non. Une phrase de récupération doit rester privée et ne jamais être envoyée à une personne, un site Web ou un chat.
