Des centaines de milliers de dollars en crypto-monnaies ont été volés après que le code Ledger ait été empoisonné.

Le fabricant de portefeuilles de crypto-monnaies Ledger a déclaré qu’un code malveillant avait été glissé dans l’une de ses bibliothèques JavaScript, permettant à des pirates de voler plus d’un demi-million de dollars. La bibliothèque en question est Connect Kit, qui permet aux DApps (applications logicielles décentralisées) de se connecter et d’utiliser les portefeuilles matériels Ledger des utilisateurs. Pascal Gauthier, PDG de Ledger, a déclaré dans un message public qu’un ancien employé avait été trompé par une attaque par phishing, ce qui a permis à une partie non autorisée de télécharger un fichier malveillant sur le compte de registre NPM de l’entreprise. «L’attaquant a publié une version malveillante du Ledger Connect Kit (affectant les versions 1.1.5, 1.1.6 et 1.1.7)», a déclaré Gauthier. « Le code malveillant utilisait un projet WalletConnect frauduleux pour rediriger des fonds vers un portefeuille de pirate. » Le fichier malveillant était ce que l’on appelle un « draineur de crypto » – il siphonne des fonds des portefeuilles numériques. Et comme des dizaines de projets crypto utilisent la bibliothèque Connect Kit, la perte financière potentielle aurait pu être considérable. Cependant, les dégâts ont été limités car le fichier compromis n’était en ligne que pendant environ cinq heures et actif pendant environ deux.