L'utilisateur affirme ne pas avoir partagé sa phrase de récupération ni autorisé aucune transaction.
De la société Keystone, ils suggèrent que la personne a signé une opération sans en examiner les détails.
Un utilisateur du portefeuille matériel Ledger a signalé le 3 mars le vol de 30 000 $ de stablecoin USDC dans son portefeuille.
Selon son récit, dans lequel il n'a pas précisé le modèle du portefeuille matériel utilisé, il a pris toutes les précautions d'usage. Il a utilisé un ordinateur Apple MacBook dédié exclusivement au fonctionnement avec Ledger, il n'a jamais partagé sa citation de récupération et n'avait pas ouvert le portefeuille depuis des semaines avant de découvrir l'incident.
«La phrase de récupération n'a jamais été dévoilée. Aucune transaction n'a été confirmée manuellement par moi. Aucun tiers n’avait accès physiquement à l’appareil », a-t-il écrit.
Les fonds piratés, a-t-il ajouté, ont été envoyés à la plateforme d'échange de crypto-monnaie Bitget.
Réponse de Ledger
L'équipe Ledger, en réponse à la victime, a confirmé dans un message sur X qu'elle avait examiné les données en chaîne associées à la transaction.
Selon leur décision, « la transaction a été signée cryptographiquement par les clés privées du portefeuille », ce qui signifie que a été physiquement autorisé à partir de l'appareil Ledger au moment où il a été exécuté.
Cela exclut une intrusion à distance des clés, mais confirme que l'appareil a approuvé quelque chose que l'utilisateur dit ne pas se souvenir d'avoir autorisé.
La société a identifié le mécanisme comme un «signature aveugle' (signature aveugle, en espagnol) : l'utilisateur a été incité à approuver une transaction, éventuellement via un site de phishing, se faisant passer pour un canal officiel de Ledger, sans visibilité sur ce qu'il faisait réellement.
La signature aveugle est une pratique dans laquelle l'appareil demande à l'utilisateur d'approuver une transaction sans vous montrer vos coordonnées réel dans un langage compréhensible.
Dans ces cas, l'utilisateur voit une chaîne de données techniques ou simplement une demande de confirmation, mais vous ne pouvez pas lire clairement ce que vous autorisez.
Une transaction apparemment anodine peut permettre à l'attaquant de déplacer des fonds à l'avenir.
Selon Ledger, « la transaction semblait peut-être routinière à l'écran, mais elle contenait des instructions pour créer un nouveau compte symbolique et transférer des fonds ».
Ledger a précisé que l'incident n'indique pas une vulnérabilité dans son matériel et n'implique pas non plus que la phrase de récupération a été compromise.
L'entreprise a exhorté la communauté à ne signez pas de transactions provenant de sites non vérifiés et examinez chaque détail sur l'écran sécurisé de l'appareil avant d'approuver toute opération.
L'hypothèse de Keystone coïncide avec celle de Ledger
L'équipe de Keystone, fabricant d'un portefeuille matériel concurrent de Ledger, a accepté l'explication fournie par Ledger.
Comme indiqué, l'utilisateur «signé accidentellement une transaction malveillante « il y a quelque temps, sans se rendre compte de ce qu'il approuvait. »
Comme signe que la phrase de récupération n'a pas été compromise, Keystone souligne une information spécifique sur l'affaire, bien qu'ils n'expliquent pas comment ils en ont eu connaissance : 2 000 $ en solana (SOL) sont restés intacts dans le même portefeuille.
Si un attaquant avait accès aux clés privées, j'aurais tout vidé.
Selon Keystone, l'absence d'outils pour vérifier ce que fait réellement une transaction C'est ce qui a rendu le vol possible.
Il est à noter que cette explication vient d’un concurrent direct de Ledger, ayant un intérêt commercial dans l’affaire. L'hypothèse énoncée est techniquement plausible, mais elle n'est pas vérifiée. Il s'agit d'une déduction par élimination, et non d'une conclusion basée sur des preuves en chaîne.
Avoir un portefeuille matériel ne suffit pas
L'affaire expose une limite spécifique des portefeuilles matériels standards : ils protègent les clés privées, mais ne garantissent pas que l'utilisateur comprend ce qu'il signe.
Un portefeuille matériel qui n'affiche pas les détails lisibles de chaque transaction transfère une partie du risque à l’utilisateur, qui peut, sans le savoir, approuver des opérations malveillantes.
Comme l'explique CriptoNoticias, le piratage de l'échange Bybit en février dernier, qui a provoqué le plus grand vol de l'histoire des crypto-monnaies avec 1,5 milliard de dollars drainéss'est produit au milieu d'une signature à l'aveugle qui n'a pas fourni tous les détails à ce sujet.
La recommandation de Keystone, vérifier chaque transaction avant de signer et utiliser des appareils affichant les détails en langage clair, est valable quelle que soit la marque.
Dans les cryptomonnaies, l’autoconservation implique l’entière responsabilité : aucun dispositif ne remplace la vérification active de ce qui est autorisé.
Voir l’article original en espagnol
