Utilisateurs de portefeuilles matériels Ledger exposés à la suite d’une violation global-e d’un partenaire de traitement de paiement

Le secteur de la conservation des cryptomonnaies a connu de nouvelles turbulences lorsque Ledger a révélé une compromission de données affectant certains de ses clients, cette fois à cause d’un processeur de paiement tiers plutôt que de ses propres systèmes. Global-e, qui opère en tant que partenaire e-commerce facilitant les transactions pour Ledger.com, a confirmé l’accès non autorisé aux informations de commande des clients, y compris les noms et coordonnées stockés sur son infrastructure cloud.

Comment s’est déroulée la faille du processeur de paiement tiers

Cette exposition a été révélée grâce à une notification par email de Global-e, initialement publiée par l’analyste pseudonyme ZachXBT sur les réseaux sociaux. Le processeur de paiement a révélé que des parties non autorisées accédaient à des informations personnelles de clients ayant effectué des achats via ses services commerçants sur Ledger.com. Fait crucial, la violation n’a pas compromis les données des cartes de paiement, ni affecté la technologie principale des portefeuilles de Ledger, la sécurité matérielle ou les systèmes de gestion de clés privées.

Global-e a agi rapidement après avoir détecté des activités suspectes, mis en place des contrôles de sécurité et engagé des enquêteurs médico-légaux indépendants pour examiner l’ampleur de l’incident. L’enquête a confirmé que certaines données personnelles de clients ont été insuffisamment consultées, bien que le nombre exact d’utilisateurs concernés reste non divulgué ni par le processeur de paiement ni par Ledger.

Clarification des risques de la société

En réponse aux demandes des médias, Ledger a souligné une distinction importante : cet incident représente une compromission des systèmes d’un partenaire tiers en ligne, et non une défaillance de la technologie d’auto-garde de Ledger. « Il ne s’agissait pas d’une violation de la plateforme, du matériel ou des systèmes logiciels de Ledger, qui restent sécurisés », a déclaré l’entreprise. Le fabricant de portefeuilles matériels a précisé que, puisque ses produits fonctionnent selon un modèle d’auto-garde, Global-e n’a pas accès aux phrases de récupération de 24 mots des utilisateurs, aux soldes blockchain ou à toute clé privée associée aux actifs numériques.

L’entreprise a confirmé qu’elle collabore avec Global-e pour informer les clients concernés avec des directives de protection pertinentes. Notamment, Ledger n’a pas été la seule marque concernée — l’exposition du processeur de paiement au système cloud concernait les données de commandes clients de plusieurs détaillants, mettant en lumière une vulnérabilité systémique chez ce fournisseur d’infrastructure e-commerce en particulier.

Contexte historique : Schéma des incidents impliquant des tiers

Il s’agit du troisième incident important lié à la sécurité de Ledger ces dernières années, bien que de gravité différente. En 2020, une violation via son partenaire e-commerce Shopify a révélé les informations personnelles d’environ 270 000 clients. Plus important encore, en 2023, Ledger a été victime d’une attaque sophistiquée qui a entraîné le vol de près de 500 000 dollars de cryptomonnaies, impactant plusieurs protocoles financiers décentralisés. Cet incident a ensuite été lié à un code malveillant implanté par un ancien employé.

Chaque incident a renforcé la distinction entre la sécurité principale du portefeuille Ledger et les vulnérabilités des services environnants. Cette dernière exposition à Global-e, bien que préoccupante du point de vue de la vie privée, ne menace pas directement les actifs numériques stockés par les utilisateurs à condition qu’ils maintiennent des pratiques de sécurité opérationnelles appropriées.

Contexte plus large du marché

La divulgation de la violation de données intervient alors que le marché des cryptomonnaies dans son sens est confronté à une volatilité persistante. Le Bitcoin est récemment passé sous le seuil de 84 000 $ dans un contexte de pressions plus larges du marché et d’un sentiment prudent des investisseurs. Les volumes de trading de cryptomonnaies au comptant se sont considérablement contractés, passant à environ 900 milliards de dollars ces dernières périodes, contre 1,7 billion de dollars l’année précédente, reflétant un refroidissement de l’enthousiasme du marché et de l’incertitude macroéconomique.

Par leur côté, certaines actions liées aux cryptomonnaies — en particulier celles exploitées par des mineurs qui se sont diversifiés dans l’infrastructure d’intelligence artificielle et l’informatique haute performance — ont démontré une résilience face à des vents contraires plus larges du marché, suggérant une différenciation basée sur l’adaptabilité du modèle économique.

L’incident Ledger souligne pourquoi l’adoption institutionnelle de l’infrastructure crypto-américaine nécessite une évaluation de sécurité à plusieurs niveaux, abordant non seulement les protocoles de base et la technologie de garde, mais aussi l’ensemble de l’écosystème des prestataires tiers qui touchent les données des clients.