Cet article a été compilé et organisé par BlockWeeks
Cette semaine, deux fils conducteurs principaux — la sécurité crypto et la réglementation — se sont intensifiés simultanément : d'un côté, la chaîne d'approvisionnement du Ledgerportefeuille matériel a été implantée avec du matériel malveillant, entraînant le vol massif d'environ 91 millions de dollars d'actifs ; de l'autre côté, le Bureau du contrôleur de la monnaie des États-Unis (OCC) a publié un rapport confirmant que le système bancaire s'était livré, sous le nom de « risque de réputation », à une débancarisation de clients légitimes, apportant une corroboration partielle au niveau officiel aux allégations de longue date de l'industrie crypto.
Attaque de la chaîne d'approvisionnement Ledger : pas de cassage de clés privées, mais lecture des phrases de récupération
Ledger enquête sur un vol impliquant environ 91 millions de dollars. Les utilisateurs concernés avaient acheté des portefeuilles matériels auprès du distributeur d'Asie du Sud-Est CryptoBilis, et Ledger a confirmé qu'au moins un appareil vendu avait été implanté avec un module matériel capable de lire la phrase de récupération affichée à l'écran. CryptoBilis était autrefois répertorié sur le site officiel de Ledger comme distributeur agréé pour l'Indonésie, la Malaisie et les Philippines.
Le 9 octobre, Ledger a demandé au distributeur de suspendre toutes les ventes et expéditions et d'informer les utilisateurs ayant acheté des appareils au cours des 90 derniers jours de ne pas configurer leurs appareils ; s'ils l'ont déjà fait, ils doivent immédiatement transférer les fonds vers un nouvel appareil et utiliser une phrase de récupération nouvellement générée. Le lendemain, Ledger a confirmé que « l'appareil d'un utilisateur concerné contenait un implant matériel non autorisé ». Mardi, Ledger a en outre expliqué son fonctionnement : à l'intérieur du boîtier de l'appareil se trouve un composant indépendant qui lit l'écran pendant la configuration, capture la phrase de récupération de 24 mots, puis l'envoie vers l'extérieur via le réseau LTE grâce à une eSIM préinstallée. Le module ne touche ni à l'élément sécurisé ni au système d'exploitation Ledger, de sorte que les appareils altérés peuvent toujours passer le contrôle d'authenticité Genuine Check de Ledger.
Des démontages indépendants ont révélé que l'implant a connu au moins trois générations, la dernière version étant un circuit flexible fabriqué professionnellement et dissimulé sous l'écran. Ledger a déclaré que ses propres systèmes et canaux de vente directs n'avaient pas été compromis, que le nombre d'appareils concernés était « limité » et que tous les cas confirmés à ce jour concernent des appareils vendus par l'intermédiaire de CryptoBilis. Le distributeur a suspendu toutes les ventes de matériel.
Flux de fonds on-chain : 474 adresses, 88 % de la valeur balayée en une heure
On-chain, cela ne ressemble pas à des victimes dispersées dérobées individuellement, mais plutôt à une récolte massive. Les statistiques montrent qu'environ 91 millions de dollars ont afflué hors de 474 adresses de victimes, couvrant Bitcoin, Ethereum, Arbitrum, Polygon et TRON : environ 64,5 millions de dollars en USDT et TRX provenaient de 146 adresses TRON ; 213 BTC (environ 17,6 millions de dollars) provenaient de 279 adresses Bitcoin ; et 8,8 millions de dollars supplémentaires en ETH et stablecoins provenaient de 49 adresses de type Ethereum. Si l'on compte la BNB Chain, qui n'a pas encore été incluse dans les statistiques, les sociétés de suivi donnent des chiffres légèrement plus élevés de 93 à 95 millions de dollars ; les 91 millions de dollars susmentionnés constituent la borne inférieure.
Le balayage des adresses Bitcoin a commencé le 7 octobre, mais 88 % de la valeur — environ 80 millions de dollars — a été transférée de manière concentrée en l'espace d'une heure à partir de 05h00 UTC le 9 octobre, précisément le matin du jour où Ledger a publié sa première déclaration. Presque toutes les adresses Bitcoin des victimes n'avaient jamais effectué de dépense auparavant, appartenant à du stockage à froid, et la plupart des fonds avaient été déposés au cours des 90 derniers jours ; certaines adresses remontent à 2021, ce qui est cohérent avec d'anciennes phrases de récupération restaurées sur des appareils altérés.
Au 15 octobre, environ 56,6 millions de dollars restent dans des adresses contrôlées par les attaquants : environ 208 BTC restent intacts dans des adresses d'agrégation Bitcoin ; environ 12 800 ETH (dont beaucoup ont été pontés depuis TRON) et 7,5 millions d'USDT restent dans des comptes de transit TRON créés le matin du vol. Environ 5 400 ETH (13,5 millions de dollars) ont transité par Tornado Cash, environ 2 millions de dollars semblent avoir atteint des adresses de dépôt d'échanges, et Tether a gelé 10 millions de dollars d'USDT liés à cette affaire. Au moins une victime s'est adressée aux voleurs on-chain, déclarant qu'une certaine part pourrait être accordée si les actifs restants étaient restitués.
Le véritable risque ne réside pas dans les courbes elliptiques, mais dans les chaînes d'approvisionnement et l'économie des attaques à l'ère de l'IA
Une analyse publiée il y a deux semaines soulignait qu'aujourd'hui peu de gens attaquent directement les mathématiques de la clé privée elle-même ; les attaquants ciblent plutôt le maillon qui « indique aux mathématiques quoi faire ». L'affaire du vol chez le distributeur Ledger est une réplique dans le monde physique de cette logique. L'élément sécurisé a fait son travail ; la phrase de récupération a simplement été lue à l'écran par une puce qui n'aurait jamais dû exister.
À l'ère de l'IA, la manière dont les vulnérabilités de cybersécurité sont exposées change. Des recherches récentes ont examiné si l'IA finira par casser l'ECDSA, mais la menace imminente n'est pas une percée mathématique. Aucune des pertes de ce trimestre n'a nécessité de percée mathématique : le défaut de compilation du firmware de Coldcard, la vulnérabilité du cache de validation de Liquid, le produit de sécurité tiers compromis de Bitget, et maintenant le circuit flexible et l'eSIM. Aucun de ces incidents n'a été attribué à des outils d'IA, et ne devrait l'être. Mais l'IA modifie l'économie de tout ce qui entoure les clés privées.
Les modèles de pointe peuvent déjà trouver de véritables vulnérabilités dans du code largement utilisé, et la fenêtre entre la divulgation d'une vulnérabilité et son exploitation se referme. Hacken a attribué 77 % des pertes du troisième trimestre aux outils des fournisseurs et des développeurs, aux correctifs divulgués mais non déployés, et aux infrastructures hors du périmètre d'audit. Les mêmes outils permettent également aux opérations d'attaque de passer à l'échelle à faible coût : une devanture apparemment crédible, un « service client » réactif, et un backend qui archive des centaines de phrases de récupération et attend que les dépôts arrivent. Pour quiconque construit ou détient des actifs dans ce secteur, cela signifie qu'il faut partir du principe que chaque dépendance et chaque maillon de la chaîne d'approvisionnement est continuellement sondé par des adversaires infatigables, et, avant que les adversaires ne le fassent, appliquer la même automatisation à l'examen de son propre code, de son firmware et de ses fournisseurs.
Le risque unique des actifs numériques au porteur : ni confisquables, ni récupérables
Voilà à quoi ressemblent les actifs numériques au porteur lorsque la garde échoue. La propriété qui rend le Bitcoin impossible à confisquer le rend aussi impossible à récupérer. Il n'y a pas d'émetteur à tenir responsable, pas de mécanisme de remboursement, et aucune ordonnance judiciaire ne peut inverser directement un transfert on-chain. La finalité des actifs est un avantage lorsqu'ils sont en sécurité, et devient une perte irréversible lorsqu'ils sont volés.
Rapport de l'OCC : les banques ont fermé des comptes au nom du « risque de réputation », le secteur crypto obtient une justification partielle
L'examen de l'OCC a confirmé que les banques s'appuyaient sur des politiques de « risque de réputation » dépourvues de normes claires et mesurables, et les utilisaient pour couper des services en raison des opinions politiques, religieuses et sociales de leurs clients. Parmi les cas figure un processeur de paiement détenu par JPMorgan dont le compte a été fermé parce qu'un commerçant vendait des produits MAGA, et une ligne d'activité de Capital One rejetant des groupes politiques des deux partis. Les restrictions informelles au niveau du secteur visant les armes à feu, le charbon, le forage en Arctique, les prisons privées, le tabac et les actifs numériques ont frappé le plus durement les petites et moyennes entreprises, tandis que les grands clients très rentables obtiennent souvent des exceptions.
L'OCC a également averti que certaines banques rebaptisent le risque de réputation en « risque de franchise » ou « risque de marque », et qu'aucune banque n'a publiquement reconnu ses décisions passées de fermeture de comptes. Pour le secteur crypto, il s'agit d'une justification partielle : l'inclusion des actifs numériques dans la liste des restrictions sectorielles lors de la fermeture de comptes par les banques montre que l'exclusion antérieure n'était pas purement un jugement commercial.
Depuis la crise financière de 2008, les banques ont été plus profondément intégrées au système réglementaire du gouvernement américain. La loi Dodd-Frank et les exigences de capital plus élevées pour les banques d'importance systémique mondiale (GSIB) sont devenues un moyen efficace pour le gouvernement de réguler l'ensemble du système financier. La relation entre les banques et les régulateurs a également évolué en conséquence : dans le récit du camp d'Elizabeth Warren, les banques étaient autrefois l'ennemi de « Main Street », mais sont désormais considérées comme des nœuds essentiels pour garantir que la réglementation est appliquée et que la volonté du gouvernement est mise en œuvre.
Cette politisation n'est pas abstraite dans la prise de décision interne des banques. Un desk de trading a connu des semaines tendues après l'assaut du Capitole du 6 janvier, les responsables d'activité discutant de la question de savoir s'il fallait continuer à fournir des services bancaires à Donald Trump, la question centrale étant précisément le risque de réputation. Le rapport de l'OCC équivaut à reconnaître que de telles normes vagues peuvent être utilisées pour filtrer les opinions politiques, religieuses et sociales.
Mais le rapport lui-même n'offre pas automatiquement une protection future. L'OCC a averti que certaines banques changent les étiquettes, et qu'aucune banque n'a publiquement reconnu ses décisions passées. La question de savoir si les régulateurs poursuivront l'application, si le Congrès légiférera et si les banques modifieront leurs incitations déterminera si la fermeture de comptes reviendra sous une nouvelle forme.
Pour les acteurs du marché, l'incident Ledger et le rapport de l'OCC convergent vers un même constat : la sécurité et l'accès ne sont pas des slogans abstraits. Le premier exige d'intégrer les chaînes d'approvisionnement, les micrologiciels, les outils tiers et le suivi on-chain dans le contrôle des risques quotidien ; le second rappelle à l'industrie que la justification réglementaire n'est qu'un point de départ, et que la protection institutionnelle doit encore être continuellement conquise.
