Un chercheur en cybersécurité affirme avoir découvert un faux appareil Ledger sophistiqué vendu sur un marché en ligne chinois, s’ajoutant à une liste croissante d’escroqueries qui ne reposent plus uniquement sur des liens de phishing ou de fausses applications.
Publiant sur le subreddit ledgerwallet sous le nom Past_Computer2901, le chercheur a déclaré avoir acheté ce qui semblait être un Ledger Nano S Plus légitime pour un usage personnel. L’appareil avait le même prix que celui du magasin officiel Ledger et, à première vue, la liste et l’emballage semblaient suffisamment convaincants.
Le faux a réussi le test de la vue, mais a échoué au contrôle logiciel
Le problème n’est devenu évident qu’après l’arrivée de l’appareil. Lorsque le chercheur l’a connecté à la véritable application Ledger Live, déjà installée sur son ordinateur, la vérification authentique intégrée de Ledger a échoué.
C’était le premier signal fort indiquant que le portefeuille n’était pas authentique. Selon le chercheur, la contrefaçon n’était pas une simple imitation fabriquée à moindre coût. Il avait été conçu pour paraître suffisamment réel pour tromper les acheteurs qui pensaient qu’un emballage d’apparence normale et que le prix du marché étaient des signes de légitimité.
Dans son message, le chercheur a déclaré que l’expérience les avait secoués par ce qu’il a décrit comme l’ampleur apparente de l’opération. L’avertissement, ont-ils ajouté, visait à informer plutôt qu’à paniquer les utilisateurs.
L’analyse du micrologiciel a mis en évidence un problème plus profond au niveau de la chaîne d’approvisionnement
L’affaire est devenue encore plus grave après que le chercheur a examiné le micrologiciel de l’appareil. Selon leur récit, les indicateurs de code et de matériel pointaient vers Espressif Systems, une société chinoise de semi-conducteurs, suggérant que la contrefaçon pourrait avoir été construite autour de composants non associés aux véritables appareils Ledger.
Cela ne prouve pas l’implication directe de l’entreprise elle-même, mais cela suggère que le faux a été assemblé avec suffisamment de soin technique pour aller au-delà du simple clonage cosmétique.
Pour les utilisateurs de crypto, la leçon est inconfortable mais simple. Les portefeuilles matériels sont censés réduire les hypothèses de confiance, mais les acheter sur des marchés non officiels peut réintroduire exactement le type de risque qu’ils sont censés éliminer. Dans ce cas, la contrefaçon n’a été détectée que parce que l’acheteur a utilisé l’application officielle avant de faire quelque chose de pire, comme saisir des informations de récupération sur un appareil qui n’a jamais été légitime au départ.
