Un faux appareil Ledger acheté sur un marché chinois soulève une nouvelle alerte concernant les portefeuilles matériels

• Un chercheur en cybersécurité affirme qu’un Ledger Nano S Plus contrefait acheté sur une marketplace chinoise a échoué au contrôle d’authenticité intégré de Ledger Live.
• Le chercheur a ensuite examiné le firmware de l’appareil et a indiqué que les preuves pointaient vers des composants liés à Espressif Systems.

Un chercheur en cybersécurité affirme avoir découvert un dispositif Ledger contrefait sophistiqué vendu via une marketplace en ligne chinoise, ajoutant à une liste croissante d’arnaques qui ne se basent plus uniquement sur des liens de phishing ou des applications frauduleuses. Postant sur le subreddit ledgerwallet sous le nom Past_Computer2901, le chercheur a dit avoir acheté ce qui semblait être un Ledger Nano S Plus légitime pour un usage personnel. L’appareil était au même prix que celui du magasin officiel Ledger, et à première vue, l’annonce et l’emballage semblaient suffisamment convaincants. Le faux a passé le test visuel, mais a échoué au contrôle logiciel Le problème n’est devenu évident qu’après l’arrivée de l’appareil. Lorsque le chercheur l’a connecté à l’application Ledger Live officielle, déjà installée sur son ordinateur, il a échoué au Contrôle d’Authenticité Intégré de Ledger. C’était le premier signal fort que le portefeuille n’était pas authentique. Selon le chercheur, la contrefaçon n’était pas une imitation grossière assemblée à la hâte. Elle avait été conçue pour paraître suffisamment réelle afin de tromper les acheteurs qui supposaient qu’un emballage et un prix de marché normaux étaient des signes de légitimité. Dans leur publication, le chercheur a dit que cette expérience l’avait secoué en raison de l’ampleur apparente de l’opération. L’avertissement, a-t-il ajouté, visait à informer plutôt qu’à paniquer les utilisateurs. L’analyse du firmware a révélé une préoccupation plus profonde dans la chaîne d’approvisionnement L’affaire est devenue plus grave après que le chercheur a examiné le firmware de l’appareil. Selon leur récit, les indicateurs de code et de matériel pointaient vers Espressif Systems, une société chinoise de semi-conducteurs, suggérant que la contrefaçon pourrait avoir été construite autour de composants non associés aux appareils Ledger authentiques. Cela ne prouve pas une implication directe de la société elle-même, mais indique que la fausse version a été assemblée avec suffisamment de soin technique pour dépasser la simple copie cosmétique. Pour les utilisateurs de crypto, la leçon est inconfortable mais claire. Les portefeuilles matériels sont censés réduire les hypothèses de confiance, mais les acheter sur des marketplaces non officielles peut réintroduire exactement le type de risque qu’ils sont censés éliminer. Dans ce cas, la contrefaçon n’a été détectée que parce que l’acheteur a utilisé l’application officielle avant de faire quelque chose de pire, comme entrer des identifiants de récupération dans un appareil qui n’était jamais légitime au départ.