Alerte hack : Plusieurs Dapps sont compromises à cause du connecteur de Ledger
Ledger, le fournisseur de portefeuilles matériels de cryptomonnaies, fait face à un défi de sécurité majeur. Les connexions aux applications décentralisées (DApps) via le Ledger Connect Kit sont compromises. Les fonds des utilisateurs de Ledger peuvent être à risque si ces derniers interagissent avec des DApps.
Ce que l’on sait pour le moment
La société a identifié et supprimé une version malveillante de son Ledger Connect Kit. Ce dernier est un ensemble d’outils utilisés pour connecter des applications décentralisées (dApps) avec ses portefeuilles matériels. Cette découverte a conduit à un avertissement urgent aux utilisateurs de ne pas interagir avec les dApps pour le moment, jusqu’à ce que la situation soit résolue. Au moment d’écrire ces lignes, aucune communication officielle de Ledger ne nous est parvenue. Nous disposons seulement des informations partagées par le compte officiel de Ledger sur X.
🚨We have identified and removed a malicious version of the Ledger Connect Kit. 🚨
A genuine version is being pushed to replace the malicious file now. Do not interact with any dApps for the moment. We will keep you informed as the situation evolves.
Your Ledger device and…
— Ledger (@Ledger) December 14, 2023
Le kit de connexion de Ledger a semble-t-il été remplacé par une “version drainante”. Une modification malveillante a inclus de nouveaux champs comme “minimalDrainValue” dans son code. Cette modification a posé un risque sérieux pour la sécurité des utilisateurs de Ledger, car elle permet potentiellement aux responsables de cette attaque de drainer les fonds des utilisateurs qui se connecteraient à des DApps.
⚠️ ALERTE – Une attaque est en cours sur Ledger Connect Kit 🚔
Il a été infecté par un drainer et circule sur les frontend de plusieurs dApps.
Ne faites aucune interaction avec votre wallet et attendez qu’une communication officielle confirme la résolution du problème ❌ pic.twitter.com/dIGKdwtMC2
— GoodVal(ue) (@GoodValueCrypto) December 14, 2023
En réponse à cette menace, Ledger a rapidement redéployé une version authentique pour remplacer le fichier compromis. La société a confirmé que le problème était lié à son compte CDN (Content Delivery Network), qui a été compromis. Ce qui a entraîné l’injection de codes JavaScript malveillants dans plusieurs dApps.
De plus, la société a mis en garde contre les tentatives de phishing et les escroqueries en cours. Ledger a souligné qu’elle ne possède que deux comptes X authentiques, @ledger et @ledger_support. Elle a enfin rappelé aux utilisateurs de ne jamais partager leur phrase secrète de récupération.
La brèche serait maintenant colmatée, mais 610 000 dollars auraient été drainés
D’après les informations divulguées sur X par Mudit Gupta, le chef de la sécurité chez Polygon, le problème serait maintenant résolu. Ce dernier propose un tutoriel pour que les utilisateurs puissent s’assurer d’avoir la bonne version de la bibliothèque Ledger.
🚨L’attaque de la bibliothèque Ledger est à présent corrigée
👉Pensez à vider vos caches sur votre navigateur et vérifiez que vous avez la bonne version
Tuto ci-dessous 👇https://t.co/eGUpZctjYq
— OAK (@oak_fr) December 14, 2023
Néanmoins, du mal a déjà été fait. Deux adresses associées au drainage des comptes utilisateurs affichent des montants de plusieurs centaines de milliers de dollars. Sur Etherscan, nous avons pu vérifier que ces deux adresses (adresse 1 & adresse 2) totalisent un montant qui avoisine les 500 000 dollars.
looks like $610K+ drained
drainer customer
0x658729879fca881d9526480b82ae00efc54b5c2d
drainer fee address
0x412f10AAd96fD78da6736387e2C84931Ac20313f pic.twitter.com/Rld2BsKNDo— ZachXBT (@zachxbt) December 14, 2023
Selon le compte ZachXBT, en revanche, la somme totale des drains dépasserait les 610 000 dollars.
Dans tous les cas, il s’agit là d’une attaque sans précédent, mettant la société Ledger dans une position difficile vis-à-vis de ses clients et de la confiance que ces derniers lui attribuent.
Sur le même sujet:
- Pascal Gauthier, PDG de Ledger : “Nous irons jusqu’au bout pour sortir Stax”
- Une fausse application Ledger Live et il s’empare de 588 000 dollars en cryptomonnaies
- Ledger lance officiellement son service Recover : Voici tout ce que vous devez savoir
