Un chercheur a révélé des pratiques douteuses de Ledger qui soulèvent d’importantes préoccupations en matière de confidentialité concernant le principal portefeuille cryptographique.
Dans un fil de discussion X récent un chercheur en crypto-monnaie a dévoilé les pratiques de Ledger qui soulèvent des inquiétudes quant à la confidentialité des utilisateurs de Ledger Live.
Le chercheur a particulièrement exprimé ses inquiétudes concernant la manière dont Ledger Live gère les données des utilisateurs et les options limitées d’utilisation hors ligne sur les portefeuilles matériels Ledger.
Selon les découvertes de @rektbuildr, Ledger Live surveille activement les utilisateurs et collecte des données, effectuant une vérification de l’appareil chaque fois qu’un appareil Ledger se connecte.
Le code de Ledger, selon @rektbuildr, empêche les utilisateurs d’utiliser les portefeuilles matériels de manière anonyme.
L’entreprise basée à Paris est toujours au courant de la connexion de l’appareil, ce qui rend impossible pour les utilisateurs de désactiver le suivi à distance sans perturber la fonctionnalité, ajoute le chercheur.
« Ce qui signifie que Ledger sait que c’est vous chaque fois que vous branchez l’appareil. Au cours de cette procédure, il répertorie les applications installées sur votre appareil, afin qu’ils sachent également ce que vous exécutez sur votre matériel. [hardware].»
@rektbuildr
Le détective de code a exhorté les utilisateurs à ne pas mettre à jour leur micrologiciel Ledger et a exprimé son scepticisme quant à la nécessité de la mise à niveau et a souligné ses inquiétudes quant à la capacité de l’entreprise à lire l’enclave sécurisée et même à extraire des clés privées.
« S’ils intègrent le doxxing d’appareils dans des choses simples comme le code de liste d’applications, que font-ils d’autre ? Nous savons désormais que leur enclave sécurisée est lisible. Ils disposent d’une fonction de récupération qui extrait les clés privées de la puce sécurisée.
@rektbuildr
Ce n’est pas la première fois que @rektbuildr expose des problèmes liés à Ledger.
Début décembre, il a révélé que le logiciel Ledger Live suit un grand nombre de données, notamment les clics, les visites de pages, les redirections, les transactions cryptographiques, les défilements de pages, les numéros de compte, les noms d’actifs cryptographiques et la durée des sessions. Au moment de la rédaction de cet article, Ledger n’a pas publié de déclaration publique sur les nouvelles révélations.
En 2023, Ledger a été confronté à des défis car ses clients auraient subi des pertes importantes en Bitcoin (BTC) et Ethereum (ETH) en raison d’une version frauduleuse de l’application, qui s’est infiltrée dans l’App Store de Microsoft. De plus, le fabricant de portefeuille a été critiqué pour son service de récupération, qui offrait aux utilisateurs un moyen de retrouver l’accès sans avoir besoin de leur phrase de départ secrète.
Voir l’article original en anglais
