À mesure que les risques liés à la sécurité des actifs numériques évoluent, les attaquants ne ciblent plus uniquement les plateformes de trading et les comptes utilisateurs. Les portefeuilles matériels peuvent également devenir un point d’entrée pour des attaques lors de l’approvisionnement, de l’expédition et de la livraison.
Si un appareil est intercepté, remplacé ou modifié de manière malveillante pendant la distribution, il peut présenter un risque pour la sécurité des actifs des utilisateurs, même s’il semble impossible à distinguer d’un produit légitime.
Gate rappelle à tous les utilisateurs que, lors de l’achat et de l’utilisation d’un portefeuille matériel, ils doivent regarder au-delà de la marque et du prix. Il est tout aussi important de vérifier la source de l’appareil, le canal de livraison et les contrôles de sécurité ultérieurs.
I. Qu’est-ce que l’empoisonnement de la chaîne d’approvisionnement matérielle ?
L’empoisonnement de la chaîne d’approvisionnement matérielle désigne l’exploitation, par des attaquants, de vulnérabilités à des étapes telles que la fabrication, l’entreposage, le transport, la distribution ou la livraison des appareils, afin de remplacer, d’altérer ou d’implanter des composants malveillants dans les appareils.
Par exemple, un utilisateur peut acheter un portefeuille matériel via un canal légitime, mais l’appareil peut être intercepté par un tiers lors de l’expédition ou de la revente. Les attaquants peuvent modifier des composants internes, altérer le firmware ou falsifier l’emballage et la documentation officielle avant de livrer l’appareil à l’utilisateur.
Certaines attaques peuvent également recourir à des techniques de phishing. Les attaquants peuvent envoyer de prétendus avis de sécurité demandant aux utilisateurs d’installer un logiciel spécifique, de scanner un code QR ou de réimporter leur portefeuille. Une fois que les utilisateurs saisissent leur phrase de récupération ou leur clé privée comme demandé, leurs actifs peuvent être exposés à un risque de vol.
Kraken Security Labs a publié des recherches sur des attaques de la chaîne d’approvisionnement ciblant les portefeuilles matériels Ledger Nano X, indiquant que les appareils peuvent être altérés avant de parvenir aux utilisateurs — par exemple, en étant interceptés lors de l’expédition ou en atteignant les utilisateurs par des canaux de revente malveillants. À la date de mise à jour de l’article, les informations publiques indiquent que le package de dépendance frontend Ledger Connect Kit a fait l’objet d’une attaque de la chaîne d’approvisionnement. Les versions affectées confirmées de ledgerhq/connect-kit sont : 1.1.5, 1.1.6 et 1.1.7. Ces versions contenaient du code malveillant conçu pour inciter à effectuer ou remplacer des transactions lorsque les utilisateurs connectaient leurs portefeuilles ou interagissaient avec des DApps, entraînant ainsi le vol d’actifs. Référence : Des anomalies de la chaîne d’approvisionnement aux implants matériels présumés : analyse complète de l’incident de vol d’utilisateurs Ledger
Il est important de noter qu’un emballage intact et un appareil qui s’allume normalement ne signifient pas nécessairement que l’appareil est sûr. Certaines modifications malveillantes peuvent être difficiles à identifier par une inspection visuelle.
II. Quels sont les risques des attaques contre la chaîne d’approvisionnement matérielle ?
La fonction principale d’un portefeuille matériel est d’aider les utilisateurs à stocker de manière sécurisée leurs clés privées et à signer des transactions. Si l’appareil lui-même est altéré, ses protections de sécurité d’origine peuvent être compromises.
Composants malveillants implantés dans l’appareil : Des composants malveillants ou un firmware altéré peuvent perturber le fonctionnement normal de l’appareil, augmentant les risques de fuites d’informations et de problèmes de sécurité des transactions.
Logiciels d’usurpation incitant à agir : Les attaquants peuvent utiliser de faux logiciels de gestion de portefeuille, de fausses notifications de mise à niveau ou de fausses instructions du support client afin d’inciter les utilisateurs à divulguer volontairement leurs phrases de récupération et leurs clés privées.
Perte de contrôle des actifs : Une fois que les attaquants obtiennent une phrase de récupération ou une clé privée valide, ils peuvent restaurer le portefeuille sur un autre appareil et transférer les actifs.
Même si les utilisateurs ont activé l’authentification à deux facteurs pour leurs comptes sur la plateforme de trading, cela ne peut pas empêcher totalement les risques causés par des appareils matériels altérés ou des identifiants de portefeuille divulgués. La sécurité des comptes, la sécurité des appareils et la gestion des clés privées doivent chacune être correctement assurées ; elles ne peuvent pas se substituer les unes aux autres !
III. Comment réduire les risques ?
Achetez les appareils via des canaux fiables
Lors de l’achat d’un portefeuille matériel, privilégiez autant que possible le site officiel de la marque ou des canaux agréés vérifiés. Restez prudent face aux appareils de source inconnue, proposés à des prix manifestement anormaux ou vendus par des vendeurs dont les qualifications ne peuvent pas être vérifiées.
Inspectez l’appareil avant de l’utiliser
Vérifiez si l’emballage, les scellés, le numéro de série et l’apparence de l’appareil présentent des signes d’irrégularité, puis vérifiez les informations de l’appareil via les canaux officiels du fabricant. Lors de la première utilisation de l’appareil, suivez les instructions officielles pour effectuer l’initialisation et la vérification du firmware. Si l’appareil a déjà été initialisé, si la vérification échoue ou si le processus semble anormal, ne vous précipitez pas pour importer des actifs.
Protégez votre phrase de récupération et votre clé privée
Votre phrase de récupération et votre clé privée sont des informations essentielles pour contrôler les actifs de votre portefeuille. Personne ne devrait vous demander de fournir ces informations par chat, e-mail, pages web ou assistance à distance.
Que l’interlocuteur prétende être le support client de Gate, un fabricant de matériel ou du personnel de sécurité, ne faites pas confiance aux demandes portant sur votre phrase de récupération ou votre clé privée. Vous ne devez également jamais saisir votre phrase de récupération sur des sites web ou dans des logiciels provenant de sources inconnues.
N’installez pas de logiciels et ne mettez pas à jour le firmware à la légère
Pour les connexions de l’appareil, les installations de logiciels et les mises à niveau du firmware, fiez-vous aux informations fournies via les canaux officiels du fabricant. Pour les liens inconnus, les codes QR, les packages de mise à niveau non officiels ou les notifications exigeant une migration urgente des actifs, vérifiez d’abord leur authenticité. N’agissez pas hâtivement simplement parce que quelqu’un affirme que votre compte est en danger.
Si vous détectez quoi que ce soit d’inhabituel, cessez immédiatement d’utiliser l’appareil
Si l’appareil présente des signes de démontage ou de modification, si la vérification du firmware échoue ou si l’initialisation est anormale, cessez de l’utiliser et contactez les canaux officiels d’assistance du fabricant afin de vérifier la situation.
Si vous soupçonnez que votre phrase de récupération ou votre clé privée a été compromise, utilisez un appareil fiable et non affecté pour créer un nouveau portefeuille dans un environnement sécurisé, puis transférez vos actifs vers une adresse sécurisée dès que possible. Ne continuez pas à utiliser un appareil qui pourrait avoir été altéré pour gérer vos actifs, et ne saisissez pas de nouveaux identifiants de portefeuille sur un appareil soupçonné d’être compromis.
IV. Rappel de sécurité de Gate
Les attaques contre la chaîne d’approvisionnement matérielle sont très discrètes, et des risques peuvent survenir avant même que vous ne receviez l’appareil. Par conséquent, vous ne devez pas supposer qu’un appareil est entièrement sûr uniquement sur la base de son étiquette de marque, de son emballage intact ou de sa capacité à s’allumer normalement.
Gate rappelle aux utilisateurs de vérifier soigneusement la source d’un appareil lors de l’achat et de l’utilisation d’un portefeuille matériel, de traiter les notifications inconnues avec prudence et de protéger correctement leurs phrases de récupération et leurs clés privées. Lorsque vous ne pouvez pas vérifier l’authenticité d’un appareil, d’une application logicielle ou d’instructions opérationnelles, vérifiez-la avant d’agir.
N’oubliez pas : utilisez des sources d’appareils fiables, vérifiez les mises à jour logicielles et ne divulguez jamais votre phrase de récupération ou votre clé privée.
En appliquant ces mesures de sécurité de base, vous pouvez mieux réduire les risques liés aux actifs associés aux attaques contre la chaîne d’approvisionnement matérielle.
Clause de non-responsabilité
Le contenu présenté ici est fourni à titre informatif et éducatif uniquement et ne constitue en aucun cas un conseil financier, d'investissement, de trading ou juridique, ni une offre ou une sollicitation d'achat ou de vente de tout actif numérique. Gate ne donne aucune garantie expresse ou implicite quant à l'exactitude, l'exhaustivité ou l'actualité des informations contenues dans ce Les fonctions des produits, les interfaces, les règles et les structures tarifaires peuvent être modifiées ou ajustées à tout moment. Veuillez vous référer aux dernières annonces ainsi qu'aux informations affichées sur la plateforme Gate pour obtenir les détails les plus précis.
Les investissements en actifs numériques comportent des risques importants, et les prix peuvent connaître d'importantes fluctuations. Vous pouvez perdre la totalité de votre investissement. Veillez à prendre vos décisions avec prudence, en fonction de votre situation financière et de votre tolérance au risque, après avoir pleinement compris les risques associés. Si nécessaire, il est recommandé de consulter un conseiller financier ou juridique indépendant.
Pour plus d'informations sur les risques potentiels, veuillez consulter la déclaration des risques et les conditions d'utilisation de Gate.
