Ledger a annoncé avoir complètement supprimé l’exploit et remplacé la bibliothèque piratée.
L’équipe de Ledger a noté qu’elle avait réussi à remplacer la bibliothèque piratée par une bibliothèque corrigée. Le code malveillant aurait été désactivé et le Ledger Connect Kit est désormais sûr à utiliser.
Cependant, les utilisateurs de Ledger ont douté des propos de l’équipe du projet concernant la sécurité totale des portefeuilles. L’un des abonnés a attiré l’attention sur le fait que du code malveillant pourrait rester dans le cache. La société a recommandé d’attendre un peu et de vider le cache du navigateur.
Pascal Gauthier, PDG de Ledger, a souligné que la raison du piratage réside dans une attaque ciblée contre l’un des anciens employés.
« Cet exploit est le résultat d’un ancien employé victime d’une attaque de phishing, qui a permis à un acteur malveillant de télécharger un fichier malveillant sur le NPMJS de Ledger (un gestionnaire de paquets pour le code Javascript partagé entre les applications). »
Pascal Gauthier, PDG de Ledger
Gauthier a déclaré que Ledger et le partenaire de l’entreprise, WalletConnect, avaient travaillé ensemble pour mettre à jour le logiciel et corriger l’exploit dans les 40 minutes suivant sa découverte. Le PDG de l’entreprise a qualifié l’incident d’« incident isolé et malheureux ». Il a promis que l’entreprise renforcerait les mesures de sécurité.
Le 14 décembre, des pirates ont attaqué Ledger Connect. Il s’agit d’une bibliothèque logicielle qui permet aux développeurs de connecter des applications décentralisées (dApps) aux portefeuilles Ledger. En compromettant Ledger Connect, les pirates pourraient injecter du code malveillant dans les dApps avec lesquels les propriétaires de portefeuilles peuvent interagir.
L’un des premiers à attirer l’attention sur les problèmes de sécurité des portefeuilles a été le commerçant de crypto Jacob Canfield, qui était populaire dans la communauté crypto. Dans son microblog, il a partagé un morceau de code utilisé par les escrocs pour voler de l’argent aux propriétaires de Ledger via Ledger Connect.
Selon l’équipe Ledger, l’attaque n’a pas affecté l’application Ledger Live, via laquelle les propriétaires de portefeuilles effectuent des transactions avec des actifs. Les portefeuilles physiques n’ont pas non plus été affectés.
Voir l’article original en anglais
