Bitcoin wallet Ledger’s database hacked + Campagne de phishing en cours

[Saint-loup]

J'aurais plutôt pensé qu'ils enverraient un soi-disant tout nouveau modèle plutôt qu'un clone d'un modèle existant.

Méfie-toi quand même si un jour tu reçois en "avant-première" leur nouveau modèle "hypersécurisé"...  

D'après Ledger, Ledger Live vérifie une clef secrète gravée dans une puce "sécurisée" pour bloquer les contrefaçons.

Check authenticity with Ledger applications
Connect your Ledger device to Ledger Live to verify its authenticity.
Genuine Ledger devices hold a secret key that is set during manufacture.
Only a genuine Ledger device can use its key to provide the cryptographic proof required to connect with Ledger’s secure server.

Points à contrôler pour vérifier l'authenticité d'un Nano S :
https://support.ledger.com/hc/en-us/articles/360002481534-Check-if-device-is-genuine
https://support.ledger.com/hc/en-us/articles/115005321449

Points à contrôler pour vérifier l'authenticité d'un Nano X :
https://support.ledger.com/hc/en-us/articles/360019010473-Check-if-device-is-genuine
https://support.ledger.com/hc/en-us/articles/360019352834

[Yaplatu]

C'est une technique de hack vieille comme le monde, j'ai moi-même utilisé cette technique dans le passé.

Tu déposes des clés USB vérolées dans des boites aux lettres, sur une table de restauration proche d'entreprise etc. Cette technique est moins connu maintenant, car les gens sont beaucoup plus méfiant et les entreprises sensibles bloquent les ports USB.

[asche]

C'est une technique de hack vieille comme le monde, j'ai moi-même utilisé cette technique dans le passé.

Tu déposes des clés USB vérolées dans des boites aux lettres, sur une table de restauration proche d'entreprise etc. Cette technique est moins connu maintenant, car les gens sont beaucoup plus méfiant et les entreprises sensibles bloquent les ports USB.

Je crois que c'est la deuxième fois que tu admets pirater / hacker des particuliers. Cela démontre de nouveau quelle genre de personne tu es...

[Yaplatu]

[...]
Je crois que c'est la deuxième fois que tu admets pirater / hacker des particuliers. Cela démontre de nouveau quelle genre de personne tu es...

C'est pour cela que j'ai précisé " dans le passé ", cela démontre simplement mon attrait pour l'informatique quand j'étais plus jeune.

Je te rassure, le hacking ne m'intéresse plus depuis plusieurs années, de plus à 90% du temps j'étais dedans surtout pour le challenge et ma culture personnelle.

Merci d'arrêter de me faire passer pour le pire des enculés, sachant que c'est faux.

[Becassine]

En tout cas les hackers ont vu les choses en grand, c'est vraiment bien fait leur paquet (il y a des photos sur le site de ledger : https://www.ledger.com/phishing-campaigns-status-fr)

Le faux appareil est livré dans un emballage qui semble authentique et possède le logo Ledger.
Le colis contient une fausse lettre et un wallet physique Ledger corrompu. La boîte est recouverte d’un film plastique afin de faire croire qu’elle n’a jamais été ouverte.
La fausse lettre explique que pour sécuriser vos fonds, vous devez remplacer le wallet physique que vous possédiez déjà.
C’est une arnaque. Ce Ledger Nano est un faux. Un disque à mémoire flash a été implanté et connecté au circuit imprimé. Il contient un fichier avec une fausse application Ledger Live.
La boîte du Nano renferme des instructions incitant les utilisateurs à connecter l’appareil à leur ordinateur, à ouvrir le lecteur sur leur ordinateur et à exécuter la fausse application Ledger Live.
Pour initialiser l’appareil, l’utilisateur est ensuite invité à entrer ses 24 mots dans la fausse application Ledger Live.
C’est une arnaque. Un Ledger Nano n’est pas un périphérique USB. Un Ledger Nano ne contient aucune application à télécharger et à installer sur votre ordinateur. L’application Ledger Live ne peut être téléchargée qu’à partir de la page de téléchargement officielle de Ledger.
Enfin, ni Ledger ni son application officielle Ledger Live ne vous demanderont jamais de partager votre phrase de récupération de 24 mots.

Il y a aura forcément des gens qui vont tomber dans le piège.

[perl]

En tout cas les hackers ont vu les choses en grand, c'est vraiment bien fait leur paquet (il y a des photos sur le site de ledger : https://www.ledger.com/phishing-campaigns-status-fr)

Le faux appareil est livré dans un emballage qui semble authentique et possède le logo Ledger.
Le colis contient une fausse lettre et un wallet physique Ledger corrompu. La boîte est recouverte d’un film plastique afin de faire croire qu’elle n’a jamais été ouverte.
La fausse lettre explique que pour sécuriser vos fonds, vous devez remplacer le wallet physique que vous possédiez déjà.
C’est une arnaque. Ce Ledger Nano est un faux. Un disque à mémoire flash a été implanté et connecté au circuit imprimé. Il contient un fichier avec une fausse application Ledger Live.
La boîte du Nano renferme des instructions incitant les utilisateurs à connecter l’appareil à leur ordinateur, à ouvrir le lecteur sur leur ordinateur et à exécuter la fausse application Ledger Live.
Pour initialiser l’appareil, l’utilisateur est ensuite invité à entrer ses 24 mots dans la fausse application Ledger Live.
C’est une arnaque. Un Ledger Nano n’est pas un périphérique USB. Un Ledger Nano ne contient aucune application à télécharger et à installer sur votre ordinateur. L’application Ledger Live ne peut être téléchargée qu’à partir de la page de téléchargement officielle de Ledger.
Enfin, ni Ledger ni son application officielle Ledger Live ne vous demanderont jamais de partager votre phrase de récupération de 24 mots.

Il y a aura forcément des gens qui vont tomber dans le piège.

A mon avis un bon nombre et ledger agrave sont cas.   Et si quelqu'un ce fait avoir. Il peut gagner contre ledger.

Je n'ai pas reçu un seul mail et encore moins un courrier. Il devrait prevenir pour une attaque de ce niveau.  

[Saint-loup]

Il y a aura forcément des gens qui vont tomber dans le piège.

Surtout que bien souvent lorsque les gens reçoivent quelque chose en double ils le revendent ou le donnent à quelqu'un...
Les pauvres néophytes qui vont se faire avoir vont être dégoutés des cryptos à vie. ("Et dire que c'était un cadeau de mon meilleur pote") 

[elma]

Reçu aujourd'hui par courrier postal , une publicité pulsechain.com, c'est en rapport avec Hex.
Ils ont probablement eu mon adresse postale grâce au hack de Ledger.

[0xkii]

Vraiment chiant à force les emails de spam ..

[LeGaulois]

Si ce n'est que de la publicité dans les boites aux lettres et de spams, ce n'est pas bien grave, même si c'est chiant.

Lui par contre est déjà un peu plus emmerder. Des gens sont venus jusqu'à chez lui
Il y a quelques mois, sa sœur est tombée sur 2 branleurs qui attendaient devant leur domicile. Ils étaient à sa recherche et possédaient ses coordonnées sur leur téléphone, et celles d’une autre personne habitant dans la même ville

Une action en justice a commencée contre Ledger (voir ici). Je ne pense pas pas que cela ira bien loin, je vois ca plutôt comme une opportunité de récupérer de l'argent via des dommages et intérêts ou autre chose. Si c'était leur propre banque ils n'auraient rien fait, et resteraient même dans la banque.

As tu un lien vers cette affaire, stp ?

https://www.capital.fr/entreprises-marches/ledger-les-victimes-de-la-fuite-de-donnees-entament-une-action-en-justice-1416678

[Halab]

J'ai pas encore tout compris, je sais pas si Ledger est responsable ou non, mais ça semble sérieux et ça s'affole pas mal :


(source : https://twitter.com/CryptoRank_io/status/1735284058853130628)

donc gaffe à ce que vous faites.

Edit :

Warning: Multiple popular crypto applications that integrate with Ledger's ConnectKit library, including http://Revoke.cash have been compromised. We temporarily took the website offline as we're investigating further. We recommend not using *any* crypto website at all while this exploit is ongoing.

[paid2]

--snip--

donc gaffe à ce que vous faites.

 

Wow en effet, ça sent mauvais... Merci Halab d'avoir partagé !

Il serait tant que Ledger prennent des vacances...



Pas sur de vouloir faire cette update.... mais pas trop le choix

[LeGaulois]

Rhoo la chatte que j'ai. j'ai le cul bordé de nouilles

Décomposons cela pour les utilisateurs de Ledger !

👉 Risque lié aux fonds : il existe un risque potentiel pour les fonds stockés dans #Ledger s'ils interagissent avec #dApps en utilisant cette bibliothèque compromise.

👉 Évitez les interactions avec les dApp : les propriétaires de Ledger doivent éviter de connecter leur Ledger à des dApps jusqu'à ce qu'il soit confirmé qu'ils sont sûrs, car cela pourrait déclencher le script de drainage et entraîner une perte de fonds.

👉 Besoin de vigilance : les propriétaires doivent surveiller les chaînes officielles de Ledger pour obtenir des mises à jour et des instructions sur la façon de procéder.

👉 Mise à jour et vérification : il peut être nécessaire de mettre à jour le micrologiciel ou le logiciel Ledger une fois qu'un correctif est disponible, en vous assurant qu'il est téléchargé à partir du site Web officiel de Ledger.

👉 Mesures de sécurité : les utilisateurs doivent également envisager de changer leurs mots de passe et de vérifier toute transaction non autorisée.

Encore une casserole pour la réputation de l'entreprise

Edit:
Ledger vient de publier ceci

🚨 Nous avons identifié et supprimé une version malveillante du Ledger Connect Kit. 🚨

Une version authentique est désormais proposée pour remplacer le fichier malveillant. N’interagissez avec aucune dApp pour le moment. Nous vous tiendrons informés au fur et à mesure de l'évolution de la situation.

Votre appareil Ledger et Ledger Live n’ont pas été compromis.

Edit 2:



JunichiSugiura sur twitter https://twitter.com/JunichiSugiura
Un ex de chez Ledger.

Il sait très bien que les meta data laisseraient cette trace donc il aurait été idiot de faire quelque chose alors que tout le monde aurait su que c'est lui. Certainement un compte/email compromis mais Ledger a en même temps oublié de lui enlever les acces

[Saint-loup]

Rhoo la chatte que j'ai. j'ai le cul bordé de nouilles

Pourquoi dis-tu cela exactement je n'ai pas compris.
En tous cas l'attaque arrive (fortuitement ou pas) à un assez mauvais moment puisque Trust Wallet avait sorti il y a un peu moins de 2mois une nouvelle version qui avait pas mal de problèmes et qui ne permettait plus à beaucoup d'utilisateurs(tous?) de se connecter à leurs dApps habituelles. Une mise à jour avait résolu le problème par la suite, mais il est fort probable que beaucoup d'utilisateurs se soient rabattus sur Ledger à ce moment-là et qu'ils n'étaient pas encore revenus vers TW au moment de cette attaque

[patrickus]

Le bug a été rapidement traité donc un quasi non-événement sauf pour ceux qui ont pu profiter de la baisse pour acheter.

[Saint-loup]

Le bug a été rapidement traité donc un quasi non-événement sauf pour ceux qui ont pu profiter de la baisse pour acheter.

La faille a été rapidement traitée mais certains medias affirment que près d'un demi-million de dollars ont quand même eu le temps d'être dérobés ($484k).
Le hack a semble-t-il eu lieu en pleine journée, durant les heures de bureaux de Ledger, en milieu de semaine, mais le vol aurait certainement pu être plus important si cela s'était passé durant le week-end ou même la nuit.

Ledger Responds, Over $480,000 Stolen
Wintermute’s Head of Research, Igor Igamberdiev, reported that a script infected with malware was uploaded to Ledger’s NPM register at 9:44 am UTC. However, Ledger has since responded, saying they deleted the malicious file and replaced it with a genuine version roughly four hours after the script was uploaded at around 1:35 pm UTC.

Ledger has also reminded users to be keen before signing off on their transactions, emphasizing that all addresses and information displayed on their interface are the “only reliable sources of information.” Earlier, the hardware manufacturer assured clients that their devices were not compromised.

Despite these assurances, Lookonchain, a blockchain analytics platform, said over $480,000 worth of assets were stolen before Ledger patched the error.

https://bitcoinist.com/ledger-supply-chain-attack-over-480000-drained/

[Halab]

Ce "non évenement" va quand même couter $600K à Ledger puiqu'ils viennent d'annoncer qu'ils allaient rembourser les victimes d'ici fin février 2024.

Annonce de Ledger : https://twitter.com/Ledger/status/1737457365526470665

Ils s'améliorent niveau damage control

[patrickus]

Je crois qu'il ne faut utiliser la ledger qu'avec une extrême-prudence, la main tremblante et uniquement pour du cold storage. Il ne faut rien faire de sophistiqué avec sa ledger.

[paid2]

Ce "non évenement" va quand même couter $600K à Ledger puiqu'ils viennent d'annoncer qu'ils allaient rembourser les victimes d'ici fin février 2024.

La classe, c'est beau une telle réactivité ! Heureux pour ceux qui ont perdus leurs $ avec ce hack.
Ils ont raison de ne pas faire trainer les remboursements : si un vrai bull devait commencer, ils pourraient se retrouver avec une note vraiment salée.

Annonce de Ledger : https://twitter.com/Ledger/status/1737457365526470665

Ils s'améliorent niveau damage control

Faut leur accorder qu'ils ne manquent pas d'opportunités pour s'exercer 

[Honore Constantinos]

Pas sur de vouloir faire cette update.... mais pas trop le choix

Je suis exactement dans le même cas que toi et je ne sais pas du tout si je dois la faire. J'ai déjà vécu le hack des bases de données et là je vois cette news ... Je n'ai plus du tout confiance en ledger...
Est-ce que l'on peut faire cette mise à jour (photo que je quote ci-dessus) ?
Cette MAJ n'a rien a voir avec les hack des dApps ledger non ? Je me trompe ?
Je n'ai pas fait la mise à jour, est-ce que cela empêche ledger live d'afficher mon compte correctement avec les quelques coins que j'ai dessus + le bon prix  ? Ou ledger live me montre que rien n'a disparu mais c'est faux, en fait plus rien n'est là mais ça ne me le montre pas parceque ledger live n'est pas à jour ? Dans mon tableau de bord, sur le statut du logiciel, ils disent que ledger fonctionne correctement mais en même temps sur mon wallet (encran d'accueil), au dessus de la demande de mise à jour, ils disent "erreur de synchronisation".


Sinon pour vous prévenir, j'ai eu un sms disant qu'il y a une activité suspecte sur mon compte ledger ce qui suspend son acces + avec un lien ensuite pour réactiver mon ledger. 3h après un gars appelle en disant qu'il est de ledger et qu'il pense avoir vu une activité suspecte sur mon compte blabla. J'ai raccroché direct. Pour moi c'est un gros scam. Vous en pensez quoi ? Avez vous eu ce cas de figure ?

Merci a bientôt !!