Des fraudeurs envoient de faux portefeuilles électroniques aux victimes d’un vol de données chez la société Ledger
Des clients de Ledger ont signalé avoir reçu par la poste de faux appareils de remplacement Ledger Nano X, conçus pour hameçonner des informations de sécurité privées.
Les conséquences d’un vol des données de la société Ledger continuent de se faire sentir près d’un an plus tard. Un contributeur du forum r/Ledgerwallet sur Reddit, écrivant sous le tag u/jjrand et s’identifiant comme l’une des personnes affectées par la violation, a publié des images de ce qui semble être un faux portefeuille Ledger Nano X reçu par la poste.
Emballé dans un emballage apparemment authentique, l’appareil comportait néanmoins plusieurs signes révélateurs qui ont suscité les soupçons du contributeur. Plus étrange encore, le colis était accompagné d’une lettre mal écrite prétendant être signée par le PDG de Ledger, Pascal Gauthier, disant à son destinataire :
«Pour des raisons de sécurité, nous vous avons envoyé un nouvel appareil, vous devez passer à un nouvel appareil pour rester en sécurité. Il y a un manuel à l’intérieur de votre nouvelle boîte que vous pouvez lire pour apprendre à configurer votre nouvel appareil. Pour cette raison, nous avons modifié la structure de nos appareils. Nous garantissons désormais que ce genre de violation ne se reproduira plus jamais. »
Ci-dessous, la boîte contenant un appareil Ledger prétendument frauduleux, reçue par l’utilisateur de reddit u/jjrand.
Ci-dessous, la lettre frauduleuse prétendument écrite et signée par le PDG de Ledger, Pascal Gauthier.
Outre la lettre, u/jjrand a également reçu un faux manuel, contenant des instructions sur l’utilisation de l’appareil et, surtout, demandant à l’utilisateur d’entrer sa phrase de récupération de son Ledger pour connecter son portefeuille de cryptomonnaie au nouveau matériel. Sur la base d’autres images montrant la carte de circuit imprimé de l’appareil téléchargée sur Reddit, le chercheur en sécurité Mike Grover a déclaré à BleepingComputer que le faux appareil avait été falsifié :
« Cela semble être un simple lecteur flash attaché au grand livre dans le but d’être une sorte de diffusion de logiciels malveillants. Tous les composants sont de l’autre côté, donc je ne peux pas confirmer s’il s’agit SEULEMENT d’un périphérique de stockage, mais […] à en juger par le travail de soudure très novice, il s’agit probablement d’un mini lecteur flash standard retiré son boîtier.»
Grover a mis en évidence une section de l’arrière de l’appareil, montrant l’implant du lecteur flash et notant que «ces 4 fils se superposent aux mêmes connexions pour le port USB du Ledger».
Ci-dessous, le dos d’un faux appareil Ledger Nano X.
Ci-dessous, le dos d’un appareil Ledger Nano X authentique.
Source : BleepingOrdinateur
Sur la base de l’analyse de Grover et BleepingComputer, il semble que les fraudeurs ont tenté d’intercepter la phrase de récupération saisie par l’utilisateur afin de rediriger les détails vers un appareil contrôlé par les escrocs, pour ensuite utiliser pour voler les avoirs associés en cryptomonnaie.
Dans un message en ligne daté du 10 mai mais non cité par u/jjrand, la société Ledger avait déjà mis en garde les clients contre la fausse lettre et le faux appareil, déclarant que :
« Le faux guide de l’utilisateur dans la boîte du Nano demande à l’utilisateur de connecter l’appareil à un ordinateur. Pour initialiser l’appareil, l’utilisateur est alors invité à saisir ses 24 mots dans une fausse application Ledger Live. Ceci est une arnaque. Ne connectez pas l’appareil à votre ordinateur et ne partagez jamais vos 24 mots. Ledger ne vous demandera jamais de partager votre phrase de récupération de 24 mots.»
Bien que l’avertissement soit inclus dans la liste en ligne de Ledger des campagnes de phishing dont l’entreprise a connaissance, il n’est pas clair si l’entreprise a contacté directement les utilisateurs, en particulier ceux dont les détails divulgués peuvent les rendre plus susceptibles de tomber dans le piège.
Cointelegraph a contacté Ledger pour commentaires et mettra à jour cet article avec de plus amples informations concernant ce problème.
Comme indiqué précédemment, d’autres conséquences de la fuite de données ont inclus les utilisateurs du grand livre recevant des e-mails d’extorqueurs menaçant de violence physique ou d’autres attaques criminelles. La violation de données initiale s’était produite en juin et juillet 2020 et comprenait 1 075 382 adresses e-mail d’utilisateurs abonnés à la newsletter Ledger. Il s’agissait notamment de la fuite d’informations personnelles (y compris les adresses personnelles) associées à 272 853 commandes de portefeuilles matériels.
En savoir plus sur Ledger » Site Officiel
Par Marie Huillet, Cointelegraph
Marie Huillet est une cinéaste indépendante, avec une formation en journalisme et édition. Nomade par nature, elle a vécu dans cinq pays différents cette décennie. Elle est fascinée par le potentiel des technologies Blockchain à remodeler tous les aspects de nos vies.
Gardez vos cryptomonnaies en sécurité!
Le Ledger Wallet est le dispositif de stockage le plus perfectionné pour conserver et utiliser Bitcoin et autres cryptomonnaies en toute sécurité.
Pour vous procurer le Ledger Wallet Nano S » Visiter le site officiel