Des centaines de milliers de dollars sont volés après que le code Ledger a été empoisonné.

Le fabricant de portefeuilles de cryptomonnaie Ledger a déclaré qu’une personne avait glissé du code malveillant dans l’une de ses bibliothèques JavaScript pour voler plus d’un demi-million de dollars aux victimes. La bibliothèque en question est Connect Kit, qui permet aux DApps (applications logicielles décentralisées) de se connecter et d’utiliser les portefeuilles matériels Ledger des gens. Pascal Gauthier, PDG de Ledger, a déclaré dans un message public qu’un ancien employé avait été trompé par une attaque par phishing, ce qui a permis à une personne non autorisée de télécharger un fichier malveillant sur le compte de registre NPM de l’entreprise. « L’attaquant a publié une version malveillante du Ledger Connect Kit (affectant les versions 1.1.5, 1.1.6 et 1.1.7) », a déclaré Gauthier. « Le code malveillant utilisait un projet WalletConnect rogue pour rediriger des fonds vers un portefeuille de pirate. » Le fichier malveillant était ce que l’on appelle un « draineur de crypto » – il siphonne des fonds des portefeuilles numériques. Et comme des douzaines de projets de crypto-monnaie utilisent la bibliothèque Connect Kit, la perte financière potentielle aurait pu être considérable. Les dégâts ont cependant été limités car le fichier compromis n’a été en ligne que pendant environ cinq heures et actif pendant environ deux heures.