La police singapourienne : des portefeuilles matériels compromis seraient liés à des pertes d’environ 3,5 millions de dollars singapouriens

Les autorités singapouriennes enquêtent sur une possible compromission de la chaîne d’approvisionnement de portefeuilles matériels, après qu’au moins deux utilisateurs auraient perdu ensemble environ 3,5 millions de dollars singapouriens en cryptoactifs.

Selon un avis publié par la police de Singapour, les faits ont été signalés à partir du 10 septembre. Les personnes concernées avaient acheté leurs portefeuilles matériels auprès de certains points de vente à Singapour. Les premiers éléments de l’enquête indiquent que certains appareils pourraient avoir intégré des composants matériels malveillants capables de récupérer des phrases de récupération ou des clés privées.

L’enquête est toujours en cours. Les autorités n’ont pas précisé quels distributeurs étaient concernés ni expliqué comment les composants suspects auraient pu être introduits dans le circuit de distribution.

Comment un appareil compromis peut mettre des cryptoactifs en danger

Les portefeuilles matériels sont conçus pour conserver les clés privées à l’écart des appareils connectés à Internet. Toutefois, cette protection dépend à la fois de l’intégrité de l’appareil et de la sécurité de la chaîne d’approvisionnement par laquelle il arrive jusqu’à l’utilisateur.

Un appareil compromis pourrait notamment :

• Capturer une phrase de récupération au moment où elle est saisie lors de la configuration
• Exposer ou copier des éléments liés à une clé privée
• Afficher des adresses de portefeuille trompeuses lors d’une transaction
• Rediriger les transactions vers une adresse contrôlée par un attaquant
• Permettre des transferts non autorisés une fois la configuration terminée

Ce type d’incident se distingue d’une attaque classique par hameçonnage. La victime peut suivre une procédure d’initialisation qui semble normale, alors que l’appareil a déjà été modifié avant son achat.

Pour cette raison, un portefeuille matériel ne doit pas être considéré comme automatiquement fiable sous prétexte qu’il est vendu dans un emballage physique. La vérification de son authenticité, une initialisation sécurisée, la validation du micrologiciel et un achat effectué avec prudence font tous partie du modèle de sécurité.

L’avertissement le plus important : ne saisissez jamais une phrase de récupération sur un appareil suspect

La police de Singapour recommande aux utilisateurs de ne pas saisir de phrase de récupération et de ne plus effectuer de transactions sur un appareil soupçonné d’avoir été modifié.

Une phrase de récupération constitue, en pratique, la sauvegarde maîtresse d’un portefeuille. Toute personne qui l’obtient peut être en mesure de restaurer le portefeuille sur un autre appareil et d’en transférer les actifs. Les transactions sur une blockchain étant généralement irréversibles, attendre de voir si une activité suspecte se produit peut accroître les pertes potentielles.

Les utilisateurs doivent agir immédiatement si un appareil :

• A été acheté par l’intermédiaire d’un canal de distribution non officiel ou difficile à identifier
• Présente des signes d’altération de l’emballage ou du matériel
• Fonctionne différemment de la procédure de configuration documentée par le fabricant
• Demande des informations sensibles d’une manière inhabituelle
• Affiche des adresses de portefeuille ou des détails de transaction inattendus
• A déjà été associé à des transferts non autorisés

Les utilisateurs doivent également se rappeler que les équipes d’assistance légitimes ne demanderont jamais une phrase de récupération complète ni une clé privée.

Ce que doivent faire les utilisateurs concernés

Si une phrase de récupération ou une clé privée a pu être exposée, le portefeuille concerné doit être considéré comme définitivement compromis. Modifier un code PIN ou réinstaller une application ne génère pas de nouvelles informations d’identification cryptographiques.

La réaction la plus sûre consiste à :

1. Cesser immédiatement d’utiliser l’appareil suspect.
2. Éviter de saisir la phrase de récupération existante sur ce même appareil.
3. Se procurer un portefeuille vérifié et non compromis auprès d’un canal de distribution fiable.
4. Créer un portefeuille entièrement nouveau ainsi qu’une nouvelle phrase de récupération.
5. Transférer les actifs restants vers le nouveau portefeuille.
6. Examiner les autorisations accordées aux jetons et révoquer les permissions inutiles lorsque cela est pertinent.
7. Conserver les preuves d’achat, les informations sur l’appareil, les identifiants de transaction et les communications pertinentes.
8. Signaler les pertes présumées aux autorités locales et au fabricant du portefeuille.

Sur Ethereum et les autres réseaux prenant en charge les contrats intelligents, le simple déplacement des actifs natifs peut ne pas suffire. Les utilisateurs doivent également vérifier leurs soldes de jetons, leurs NFT, leurs positions de staking et les autorisations actives accordées aux contrats. Une clé compromise peut exposer tous les comptes dérivés de la même phrase de récupération.

La sécurité de la chaîne d’approvisionnement fait partie de l’autodétention

Cet incident met en lumière un principe important de la sécurité des cryptomonnaies : l’autodétention réduit la dépendance à l’égard des intermédiaires centralisés, mais elle transfère aussi davantage de responsabilités à l’utilisateur.

Des risques de sécurité peuvent apparaître à plusieurs étapes, notamment :

• La fabrication
• L’assemblage de l’appareil
• La distribution du micrologiciel
• Le stockage chez le détaillant
• L’expédition et la livraison
• La configuration initiale
• La génération de la phrase de récupération
• La confirmation des transactions

Un portefeuille acheté auprès d’un vendeur non autorisé peut présenter des risques difficiles à détecter lors d’une simple inspection visuelle. Même un emballage intact ne constitue pas une garantie absolue si le produit est passé par une chaîne d’approvisionnement non fiable.

Les utilisateurs devraient privilégier les canaux d’achat officiels, vérifier l’appareil au moyen des procédures officielles du fabricant, ne mettre à jour le micrologiciel qu’avec des logiciels de confiance et effectuer la configuration initiale dans un environnement privé. Les phrases de récupération doivent être générées par le portefeuille lui-même et conservées hors ligne. Elles ne doivent jamais être photographiées, enregistrées dans des notes synchronisées avec le cloud, envoyées via des applications de messagerie ou saisies sur des sites web.

Les recommandations du National Institute of Standards and Technology relatives à l’identité numérique rappellent également un principe général de sécurité : les secrets d’authentification doivent être protégés contre toute divulgation non autorisée. Dans le domaine des cryptomonnaies, ce principe est particulièrement crucial, car la possession de la clé signifie généralement le contrôle des actifs.

Pourquoi la vérification des transactions reste essentielle

Même lorsqu’un portefeuille fonctionne normalement, les utilisateurs doivent vérifier l’adresse du destinataire et les détails de la transaction sur l’écran de confiance de l’appareil avant d’autoriser un transfert.

Un logiciel malveillant présent sur un ordinateur ou un téléphone peut remplacer une adresse copiée par celle d’un attaquant. Un appareil sécurisé dédié à la signature peut réduire ce risque, mais uniquement si l’utilisateur vérifie les informations affichées avant d’approuver la transaction au lieu de la confirmer automatiquement.

Pour les transferts importants, les utilisateurs peuvent notamment :

• Envoyer d’abord une petite transaction de test
• Comparer l’intégralité de l’adresse de destination
• Utiliser un carnet d’adresses ou des fonctions de liste blanche lorsqu’elles sont disponibles
• Séparer les placements à long terme des fonds destinés au trading actif
• Utiliser des portefeuilles distincts selon les profils de risque
• Vérifier les frais du réseau et les autorisations accordées aux contrats avant de signer

Ces pratiques ne permettent pas d’éliminer toutes les menaces, mais elles peuvent réduire l’impact de l’hameçonnage, des logiciels malveillants qui altèrent le presse-papiers, des contrats malveillants et des erreurs opérationnelles.

Ce que cela signifie pour les acheteurs de portefeuilles matériels

L’enquête menée à Singapour ne signifie pas que tous les portefeuilles matériels sont compromis. Elle montre toutefois pourquoi la traçabilité de l’appareil et une configuration sécurisée sont des éléments essentiels de la protection des actifs numériques.

Avant d’acheter un appareil, les utilisateurs devraient vérifier :

• Si le vendeur est un distributeur agréé ou dont la légitimité peut clairement être vérifiée
• Si l’emballage et l’appareil présentent des signes de modification
• Si le portefeuille prend en charge des phrases de récupération générées localement et de manière sécurisée
• Si l’authenticité du micrologiciel peut être vérifiée indépendamment
• Si les détails de la transaction sont clairement affichés avant la signature
• Si le fabricant publie des avis de sécurité et des procédures de réponse aux incidents

Les utilisateurs devraient également suivre les mises à jour de sécurité officielles ainsi que les recommandations des autorités locales pendant la poursuite de l’enquête. Les canaux officiels d’information et d’avis de la police de Singapour restent la source appropriée pour consulter les informations vérifiées concernant les cas signalés.

Une liste de contrôle pratique pour la sécurité

Pour les utilisateurs de cryptomonnaies au quotidien, la liste suivante peut contribuer à réduire les risques liés aux portefeuilles matériels et aux clés privées :

• Achetez uniquement auprès de canaux fiables et vérifiables.
• Inspectez l’emballage et l’appareil avant de les utiliser.
• Initialisez vous-même le portefeuille dans un environnement privé.
• N’acceptez jamais une phrase de récupération fournie par une autre personne.
• Ne communiquez jamais une phrase de récupération ni une clé privée à qui que ce soit.
• Conservez les mots de sauvegarde hors ligne et protégez-les contre le feu, l’eau et tout accès non autorisé.
• Vérifiez les adresses et les détails des transactions sur l’écran du portefeuille lui-même.
• Utilisez un portefeuille distinct pour les applications expérimentales et les activités de finance décentralisée plus risquées.
• Transférez immédiatement vos actifs si la phrase de récupération a pu être exposée.
• Conservez les historiques de transactions et les informations relatives à l’appareil en cas d’incident.

Pour les utilisateurs à la recherche d’un portefeuille matériel privilégiant l’isolation sécurisée des clés, la confirmation transparente des transactions et le contrôle de leur phrase de récupération, OneKey peut être envisagé dans le cadre d’une stratégie plus globale d’autodétention. Toutefois, aucun appareil ne peut remplacer de bonnes pratiques de sécurité opérationnelle : même le portefeuille le plus sûr est compromis si sa phrase de récupération est exposée, saisie sur un appareil non fiable ou conservée avec négligence.

Les pertes présumées à Singapour rappellent que la sécurité des cryptomonnaies commence avant même la connexion d’un portefeuille. Vérifier l’origine de l’appareil, protéger la phrase de récupération et considérer tout comportement matériel inhabituel comme un signal d’alerte sérieux peuvent faire la différence entre une autodétention sécurisée et une perte irréversible.