Le créateur de portefeuille de crypto-monnaie Grand livre a confirmé un violation de données impliquant la plateforme Global-eresponsable de la gestion d'une partie des opérations e-commerce du site Ledger.com. La société a toutefois déclaré que pas d'actifs numériques, de phrases de récupération ou d'informations sensibles liées aux portefeuilles a été compromis.
L'entreprise, basée à Paris et connue dans le monde entier pour ses appareils Nano et Stax, a souligné que ses produits restent sûrs, même face à des incidents extérieurs. Ledger a déjà vendu plus de 7,5 millions de portefeuilles et estime que ses appareils protègent environ 20 % de tous les crypto-actifs existants.
La violation a affecté les données de commande, mais n'a pas affecté les actifs ou les mots de passe.
Dans une déclaration envoyée par courrier électronique, Ledger a expliqué que la faille de sécurité s'est produite exclusivement dans l'infrastructure de Global-e, une plateforme internationale de paiement et de commerce utilisée par plusieurs grandes marques mondiales.
Selon l'entreprise, l'attaque impliquait « accès non autorisé aux données de commande »affectant les clients qui ont effectué des achats sur Ledger.com avec Global-e comme « marchand officiel ».
Ledger a souligné que aucune donnée critique liés à l’écosystème cryptographique a été exposé.
« Global-e n'a pas accès aux phrases de récupération des utilisateurs, aux soldes blockchain ou à toute information privée. Important : aucune information de paiement n'a été impliquée. »a déclaré la société.
Global-e, coté au Nasdaq sous le symbole GLBEsert des centaines de détaillants internationaux, dont Victoria's Secret, Adidas, Alo Yoga et Marc Jacobs.
Ledger réagit avec une enquête et rappelle les incidents précédents
Ledger a informé les utilisateurs qu'il avait embauché experts légistes indépendants pour enquêter sur l’incident et cartographier les éventuels impacts supplémentaires.
L'épisode ravive les inquiétudes concernant les vulnérabilités des systèmes tiers connectés à l'entreprise. Dans décembre 2023le kit Ledger Connect a subi une attaque après qu'un ancien employé soit tombé dans une escroquerie de phishing, permettant d'insérer du code malveillant dans le package JavaScript utilisé par dApps.
À l’époque, Ledger avait même conseillé aux utilisateurs de les suspendre temporairement jusqu’à ce que la faille soit corrigée.
Malgré l'historique d'incidents impliquant des partenaires et des intégrations externes, l'entreprise souligne que son architecture de portefeuille reste isolée et protégée, car elle fonctionne sur un auto-gardiendans lequel seuls les utilisateurs ont accès aux clés privées.
À mesure que l'enquête progresse, Ledger affirme qu'elle renforce les processus internes et exige des audits supplémentaires auprès des fournisseurs externes. Même malgré la peur, le message central reste clair : Les portefeuilles Ledger restent sécuriséset aucun risque immédiat n’a été identifié pour les actifs numériques des clients.
Voir l’article original en portugais
