Vos cryptos sont-elles en sécurité ? MediaMarkt retire les produits Ledger de ses magasins, Trezor réagit après un vol

MediaMarkt retire les portefeuilles physiques Ledger de ses magasins après la découverte, par un client en Allemagne, d’une puce dissimulée dans son appareil. Jusqu’ici principalement observée en Asie, cette attaque visant les appareils Ledger a donc atteint hier les commerces européens. Par précaution, son concurrent Trezor prend lui aussi des mesures.

Des appareils Ledger compromis chez MediaMarkt

MediaMarktSaturn, la maison mère allemande de MediaMarkt, a suspendu hier la vente des appareils Ledger en Europe, en magasin comme en ligne.

Selon Ledger, le client allemand n’a subi aucune perte de fonds, mais l’enseigne ne veut prendre aucun risque. Un porte-parole de MediaMarktSaturn assure que le groupe prend cet incident très au sérieux.

Ce n’est pas le seul signalement. Sur X, l’utilisateur Johannes affirme avoir découvert des câbles non raccordés et des modules de communication mobile dans deux appareils Ledger achetés dans des magasins différents. Ces éléments n’ont toutefois pas encore été confirmés.

Mark Karpelès, ancien dirigeant de la plateforme d’échange de cryptomonnaies Mt. Gox, qui a fait faillite, signale également la présence d’un implant dans un Ledger Flex acheté à l’aéroport de Singapour. Ledger ne confirme pas de lien avec la même attaque.

L’affaire a débuté la semaine dernière en Asie du Sud-Est, où des clients du revendeur malaisien CryptoBilis ont vu leurs portefeuilles se vider. Une victime a indiqué sur Reddit avoir perdu près de 100 000 dollars en USDT.

La société d’analyse Bitquery estime le préjudice total à environ 93 millions de dollars, répartis sur 311 portefeuilles. Cela représente près de 300 000 dollars par portefeuille en moyenne.

Ledger n’a pas confirmé ces montants. L’entreprise précise sur X qu’à ce stade de l’enquête, les seuls incidents confirmés restent limités à l’Asie du Sud-Est.

Un portefeuille physique est un boîtier, souvent de la taille d’une clé USB, qui conserve hors ligne les clés donnant accès aux cryptomonnaies. Lors de sa configuration, il génère une phrase de récupération de 24 mots.

Cette phrase sert de clé de secours : quiconque connaît ces mots peut restaurer le portefeuille sur un autre appareil et en retirer tous les fonds.

C’est précisément à cette étape que l’implant intervient, comme l’a expliqué hier l’équipe de sécurité de Ledger. Il lit la phrase de récupération affichée à l’écran et la transmet par le réseau mobile grâce à une carte SIM intégrée, ou eSIM.

La puce sécurisée qui contient les clés reste intacte. Un appareil Ledger modifié fonctionne donc normalement et passe même le contrôle d’authenticité de l’application du fabricant.

On ignore encore comment ces implants ont été introduits dans les appareils. Selon Changpeng Zhao, ancien dirigeant de la plateforme d’échange Binance, les pirates auraient pris le contrôle de CryptoBilis.

Ledger recommande de ne pas configurer les appareils achetés chez CryptoBilis au cours des quatre-vingt-dix derniers jours. Si des cryptomonnaies y sont déjà conservées, l’entreprise conseille de les transférer vers un nouvel appareil Ledger doté d’une nouvelle phrase de récupération.

Trezor écarte certains revendeurs

Trezor n’a reçu aucun signalement d’appareil modifié, mais préfère jouer la prudence après l’attaque visant Ledger. Après avoir retiré CryptoBilis de sa liste de revendeurs, le fabricant en écarte désormais une partie des autres.

C’est ce qu’annonce le directeur commercial Danny Sanders dans une lettre adressée aux partenaires concernés. Leur agrément prendra fin le 1er janvier 2027. D’ici là, ils ne recevront plus de nouveaux appareils, mais pourront écouler leurs stocks.

Ils disposent ainsi d’un peu plus de onze semaines, de quoi couvrir le Black Friday et les fêtes de fin d’année. Trezor ne précise pas le nombre de revendeurs concernés. Ceux qui conserveront leur agrément devront respecter des règles plus strictes sur la provenance et le stockage des appareils.

Danny Sanders souligne que les appareils de la marque ne présentent aucun problème identifié. Il affirme qu’aucun élément ne permet de conclure que des appareils Trezor ont été compromis et que cette décision relève uniquement d’une mesure préventive prise par prudence.

OneKey, un fabricant de portefeuilles physiques de plus petite taille, a lui aussi écarté CryptoBilis. Il propose de remplacer gratuitement les appareils achetés auprès de ce revendeur entre le 1er mars et le 13 octobre, bien qu’il n’ait lui-même signalé aucune perte de fonds.

La décision de Trezor marque toutefois un changement notable. Lorsque de faux appareils Trezor étaient apparus en 2022, l’entreprise recommandait encore de s’approvisionner uniquement sur sa boutique en ligne ou auprès d’un revendeur agréé.

C’est précisément ce second circuit qui se réduit aujourd’hui. Et la découverte faite chez MediaMarkt laisse penser que même une grande enseigne ne constitue pas une garantie.

Ledger ignore encore à quel maillon de la chaîne le problème est survenu. L’entreprise indique que l’enquête se poursuit pour déterminer qui a modifié ces appareils et à quel stade de la distribution ces manipulations ont eu lieu.