Il y a quelques jours, le fournisseur de solutions de conservation de cryptomonnaies, Ledger, a subi une attaque contre la bibliothèque de kits de connexion qui a mis en danger les fonds de millions d’utilisateurs, déjouée grâce à une intervention opportune de l’équipe de l’entreprise qui a installé un correctif de sécurité. fixations.
Après cet événement, de nombreux utilisateurs du monde crypto, mécontents de l’absence de règles de précaution chez Ledger qui auraient pu éviter l’exploit en amont, ont commencé à s’intéresser de plus en plus au concurrent Trezor, également producteur de portefeuilles non dépositaires.
Dans cet article, nous explorons Trezor, toutes ses fonctionnalités et ses normes de sécurité.
Storm Ledger : un exploit dans la bibliothèque de kits de connexion met en danger les portefeuilles cryptographiques de millions d’utilisateurs
Jeudi 14 décembre, une tempête a éclaté sur X contre le fournisseur de portefeuille cryptographique Ledger, ce qui a poussé de nombreux utilisateurs à envisager de s’orienter vers le concurrent Trezor.
Tout a commencé lorsqu’on a découvert à 11 heures du matin, heure italienne, que le compte GitHub d’un ancien employé de Ledger a été compromis (probablement via une attaque Hameçonnage) permettant à des acteurs malveillants d’installer une version malveillante du kit de connexion directement sur le référentiel.
Le kit de connexion est un lien qui permet aux utilisateurs de plateformes décentralisées de connecter leur Ledger à diverses dapps, et s’ouvre généralement dès que vous visitez un site Web disposant de la connexion web3.
Le problème dans ce cas est que le code malveillant s’est propagé sur les CDN et a été fourni à tous ceux qui ont interagi avec la bibliothèque de connexion au portefeuille de Ledger, soit 99 % de tous les dapps existants. Revoke.Cash a également été affecté.
Toute personne qui s’est connectée à son registre via le kit de connexion entre 11h et 17h le 14 décembre a subi un piratage qui, en bref, a provoqué l’apparition d’un pop up. (comme sur la photo suivante) ce qui, s’il avait été cliqué, aurait conduit au vidage du portefeuille crypto.
Pour le moment, la situation semble sous contrôle, avec le Équipe du grand livre qui a installé une nouvelle version du kit de connecteurs avec un patch qui corrige les dégâts.
Quoi qu’il en soit, de nombreux doutes subsistent quant aux implications potentielles que cet exploit a pu apporter au sein de la communauté cryptographique.
D’abord parce que désormais les développeurs de dapp courent un risque s’ils implémentent toujours une version obsolète de la bibliothèque Ledger, et s’ils n’agissent pas après l’incident grave, ils pourraient nuire à tous les utilisateurs qui utilisent l’application.
De plus, nous ne savons pas si le bug a pu propager des logiciels malveillants au sein des appareils de ceux qui ont visité dapp le 14 décembre, même s’ils ne sont pas tombés dans le piège du pop up malveillant.
La communauté des hackers blancs et Ledger lui-même ont rapidement résolu l’exploit orageux, parvenant à limiter les dégâts autant que possible, mais les risques sont toujours présents et de nombreux utilisateurs décident d’abandonner la société de production de portefeuilles pour passer au concurrent Trezor.
Petit conseil après l’incident: comme le suggère le compte X « Mudit Gupta » et par la suite également par «Noir» (qui a joué un rôle fondamental dans la diffusion rapide de l’information au sein de la communauté italienne), vérifiez si la version du kit de connexion sur le réseau cdn est « 1.1.8 », et en tout cas supprimez toutes les données de navigation sur chrome comme les cookies et cache.
Alternative Trezor : qu’est-ce que ce portefeuille et comment ça marche ? plus sûr que le Ledger ?
Comme mentionné, après le grave accident survenu dans la maison Ledger, de nombreux utilisateurs ont commencé à migrer vers le portefeuille crypto Trezor avec l’idée que ce dernier est plus sécurisé que son concurrent.
Voyons donc quelles sont les principales caractéristiques du Trezor et en quoi il diffère du principal concurrent.
Rappelons cependant que l’exploit dont nous avons parlé ne concerne pas l’appareil physique lui-même, mais plutôt une pratique ambiguë selon laquelle un ancien employé de Ledger peut publier du code malveillant sur Github en CDN,
Tout d’abord, précisons que Trezor est un portefeuille matériel non dépositaire, qui est utilisé pour détenir des crypto-monnaies sans confier les clés privées à une entité tierce.
Cela fonctionne de la même manière que les autres solutions non dépositaires, où une fois l’appareil démarré, vous pouvez choisir de récupérer un portefeuille à partir d’une phrase de départ déjà existante ou d’initialiser un compte à partir de zéro.
La phrase de départ, ainsi que le code PIN de l’appareil, représentent les deux principales sécurités du portefeuille matériel qui protège l’utilisateur contre la perte, le vol ou certaines cyberattaques.
Il existe 3 modèles Trezor différents (modèle un, coffre-fort 3 et modèle T) dont chacun prend en charge plus de 800 pièces ou jetons et vous permet d’envoyer, de transférer ou de stocker des actifs.
Le premier modèle fonctionne via un câble USB tandis que les deux autres via USB-C.
le modèle T, qui est le plus cher et le plus récent, dispose d’un écran tactile de 1,54 pouces tandis que les autres disposent du « pavé à deux boutons ».
Tous les trois ont un code qui est Open source et représente l’une des particularités distinctives de Trezor, qui se concentre fortement sur le facteur sécurité, transparence et confidentialité.
Il est également possible de connecter le logiciel de navigation anonyme Tor aux 3 portefeuilles crypto, ce qui permet de se protéger de certains dangers sur le web.
Passons maintenant aux différences avec le Ledger :
Comparé au Ledger, le portefeuille Trezor a un code ouvert (open source) qui représente une carte de présentation bien plus engageante que celle de la première, avec du code fermé auquel tout le monde « doit faire confiance ».
Le contexte open source vous permet de contrôler les bogues et de résoudre les problèmes beaucoup plus rapidement que n’importe quel système privé.
Une autre différence concerne le fameux « élément sécurisé » c’est-à-dire une véritable puce présente sur TOUS les appareils Ledger (alors qu’elle n’est présente que sur le coffre-fort Trezor 3) et consiste en une mesure de sécurité qui empêche des personnes malveillantes d’obtenir les clés privées du portefeuille en cas de vol de l’appareil.
Les clés privées ne quittent jamais l’élément sécurisé et c’est une grande force de Ledger.
Sur le thème des matériauxlà aussi Ledger a l’avantage sur Trezor : le métal du premier est bien plus résistant que le plastique entrant dans la fabrication du second.
Les applications installables sont les mêmes et sont disponibles dans les deux cas sur iOS et Android.
Enfin sur le devant Réputation de la marque, on peut dire qu’après la dernière erreur, Ledger a aggravé une situation déjà critique en matière de confiance dans le monde de la cryptographie.
L’entreprise avait déjà fait dire du mal d’elle-même sur des sujets controversés (sur la fonction « Recover » proposée il y a quelques mois) mais après le dernier accident grave qui aurait pu être évité s’il y avait eu des mesures plus professionnelles, il est évident qu’il n’y a plus les conditions pour pouvoir faire confiance.
Sur ce front, Trezor a toujours montré qu’il était concentré sur la sécurité de ses appareils et la transparence de ses opérations.
Voir l’article original en italien
