ZachXBT qualifie de « déchets » les portefeuilles matériels après le vol $282M

L’investigateur onchain ZachXBT a critiqué les portefeuilles matériels en les qualifiant de « complète camelote » et a déclaré que Ledger était le pire parmi les principaux fournisseurs, après un vol survenu le 10 janvier au cours duquel une victime a perdu plus de 282 millions de dollars de Bitcoin et de Litecoin dans une arnaque d’ingénierie sociale. L’attaque impliquait environ 2,05 millions de LTC et 1 459 BTC, l’attaquant convertissant les fonds dérobés en Monero via des échanges instantanés et utilisant Thorchain pour transférer le Bitcoin entre les réseaux, selon des informations de Wu Blockchain et The Defiant. La déclaration de ZachXBT remet en question la recommandation courante en matière de sécurité crypto d’utiliser des portefeuilles matériels, en affirmant que ces appareils ne protègent pas les utilisateurs contre les défaillances de sécurité opérationnelle, les attaques de phishing, les fuites de la chaîne d’approvisionnement ou les tactiques d’ingénierie sociale.

ZachXBT relie un vol de 282 millions de dollars à l’ingénierie sociale le 10 janvier

ZachXBT a mis en avant le vol du 10 janvier après que The Defiant a rapporté qu’un utilisateur de portefeuille matériel a perdu plus de 282 millions de dollars de Bitcoin et de Litecoin. L’attaque impliquait environ 2,05 millions de LTC et 1 459 BTC. L’attaquant aurait converti les fonds volés en Monero via des échanges instantanés et utilisé Thorchain pour transférer le Bitcoin entre les réseaux. Les commentaires de ZachXBT, relayés par Wu Blockchain et republicés sur X, sont intervenus après qu’il a examiné les détails du vol. L’attaque rapportée a été décrite comme une arnaque d’ingénierie sociale plutôt que comme une compromission cryptographique d’un appareil matériel.

Ledger fait face à une fuite de données via le processeur de paiement Global-e

En janvier, Bit2Me a rapporté que ZachXBT avait mis en garde contre une exposition de données liée à Ledger, impliquant Global-e, un processeur de paiement externe utilisé dans le processus de vente de Ledger. La fuite a exposé des informations personnelles telles que les noms, les emails, les numéros de téléphone et les adresses physiques. Le rapport a précisé que les clés privées et les fonds des utilisateurs n’ont pas été compromis directement. Ledger a fait l’objet de critiques pendant des années concernant des campagnes de phishing, des appareils contrefaits, de fausses applications Ledger Live et la fonctionnalité Ledger Recover. La société a répété à maintes reprises que ses appareils sont conçus pour maintenir la sécurité des clés privées.

Les portefeuilles matériels ne traitent pas les risques humains de sécurité

La critique de ZachXBT porte sur des lacunes de sécurité opérationnelle plutôt que sur la cryptographie des appareils. Les portefeuilles matériels sont présentés comme plus sûrs que les portefeuilles logiciels, car ils isolent les phrases seed et la signature des transactions de la connexion à des appareils connectés à Internet. Toutefois, ZachXBT soutient que les appareils matériels ne peuvent pas empêcher les utilisateurs d’entrer des phrases seed sur des sites de phishing, d’approuver des transactions malveillantes, d’acheter des appareils contrefaits ou de devenir des cibles parce que leurs données personnelles ont été exposées par des vendeurs ou des processeurs de paiement. Une fois que des criminels savent qu’une personne a acheté un portefeuille matériel, ils peuvent la cibler avec des emails de phishing personnalisés, de faux messages de support, des tentatives de SIM-swap ou des intimidations physiques. Pour les gros détenteurs, l’évaluation de ZachXBT suggère qu’une autoconservation fiable nécessite des portefeuilles à signatures multiples, des appareils de signature séparés, des listes d’adresses autorisées, une simulation des transactions, des machines hors ligne dédiées et des règles strictes interdisant de saisir des phrases seed ailleurs que sur l’appareil lui-même.

FAQ

Que a dit ZachXBT au sujet des portefeuilles matériels ?
ZachXBT a qualifié les portefeuilles matériels de « complète camelote » et a dit qu’il ne recommande pas de les utiliser, en déclarant Ledger comme le pire parmi les principaux fournisseurs, d’après des publications sur les réseaux sociaux relayées par Wu Blockchain.

Quelle quantité de cryptomonnaies a été volée lors du vol du 10 janvier auquel ZachXBT faisait référence ?
Une victime a perdu plus de 282 millions de dollars de Bitcoin et de Litecoin dans une arnaque d’ingénierie sociale le 10 janvier, impliquant environ 2,05 millions de LTC et 1 459 BTC, selon le rapport de The Defiant citant ZachXBT.

Quelles informations personnelles ont été exposées dans la fuite de données liée à Ledger ?
La fuite via le processeur de paiement Global-e a exposé les noms, les emails, les numéros de téléphone et les adresses physiques des clients Ledger, bien que les clés privées et les fonds des utilisateurs n’aient pas été compromis directement, selon le rapport de Bit2Me sur l’avertissement de ZachXBT en janvier.