Des centaines de milliers de dollars en crypto-monnaie ont été volés après que le code Ledger ait été empoisonné.

Le fabricant de portefeuilles de crypto-monnaies Ledger a déclaré qu’une personne avait inséré du code malveillant dans l’une de ses bibliothèques JavaScript pour voler plus d’un demi-million de dollars à des victimes. La bibliothèque en question est Connect Kit, qui permet aux DApps (applications logicielles décentralisées) de se connecter et d’utiliser les portefeuilles matériels Ledger des gens. Pascal Gauthier, PDG de Ledger, a déclaré dans un message public qu’un ancien employé avait été trompé par une attaque par phishing, ce qui a permis à une personne non autorisée de télécharger un fichier malveillant sur le compte de registre NPM de l’entreprise. « L’attaquant a publié une version malveillante du Ledger Connect Kit (affectant les versions 1.1.5, 1.1.6 et 1.1.7) », a déclaré Gauthier. « Le code malveillant utilisait un projet WalletConnect rogue pour rediriger les fonds vers un portefeuille pirate. » Le fichier malveillant était ce que l’on appelle un « draineur de crypto » – il siphonne des fonds des portefeuilles numériques. Et comme des dizaines de projets crypto utilisent la bibliothèque Connect Kit, la perte financière potentielle aurait pu être considérable. Les dégâts ont cependant été limités car le fichier compromis n’était en ligne que pendant environ cinq heures et actif pendant environ deux heures.