Un faux Ledger venu de Malaisie contenait une puce espionne dissimulée

Mark Karpelès, ancien directeur de la plateforme d’échange de bitcoin Mt. Gox, aujourd’hui en faillite, a reçu un portefeuille matériel Ledger Nano X qui, malgré un emballage sous film rétractable intact, contenait un module d’espionnage dissimulé. La puce était cachée à l’endroit où se trouve normalement le rembourrage derrière l’écran, ce qui la rendait à peine visible, même après ouverture de l’appareil. Le colis avait été expédié depuis la Malaisie via DHL Express.

En bref :

• Un Ledger Nano X en provenance de Malaisie contenait, malgré un emballage intact, une puce d’espionnage dissimulée.
• La puce était habilement cachée derrière l’écran et ressemblait à du matériel d’origine.
• Ledger conseille aux utilisateurs de vérifier leur appareil à l’aide des instructions de sécurité officielles.

Une puce dissimulée pour ressembler à un composant d’origine

Karpelès partage sur X des photos comparatives de la carte électronique d’origine et du module implanté. Selon lui, ce type d’implant s’est perfectionné au fil des années : là où l’on soudait autrefois des fils volants à la main, il s’agit désormais de cartes électroniques à part entière, à peine distinguables du matériel d’origine au premier coup d’œil.

Selon ses propres déclarations, l’appareil contenait une carte SIM dans le module d’espionnage. Karpelès en fait même une plaisanterie pince-sans-rire : qui veut des données mobiles gratuites n’a qu’à retirer la carte SIM, tout en avertissant que la police pourrait alors se présenter à sa porte, persuadée que l’on est soi-même le fabricant.

Ledger appelle les utilisateurs à vérifier leur appareil

Karpelès demande aux autres utilisateurs ayant reçu un appareil potentiellement suspect de lui partager des photos, afin qu’il puisse repérer des implants similaires. Il renvoie en même temps aux instructions de sécurité officielles de Ledger pour vérifier l’authenticité d’un appareil.

Selon les informations disponibles, Ledger n’a pas confirmé officiellement la fonction du module découvert, et un éventuel lien avec des pertes récentes chez des clients n’a pas encore été établi. La situation s’inscrit toutefois dans un schéma plus large : nous avions déjà rapporté que des portefeuilles matériels Ledger avaient été vidés, avec des pertes atteignant 86 millions de dollars.

Pour qui utilise un Ledger, le conseil est clair : n’acheter qu’auprès de points de vente officiels et vérifier l’appareil à l’aide des instructions de sécurité du fabricant, même si l’emballage semble intact.