Imaginez brancher un téléphone à un ordinateur portable… et perdre votre portefeuille crypto avant même que l'appareil ne démarre.

C'est essentiellement ce que des experts en sécurité ont découvert : une grande faiblesse dans certains appareils Android qui utilisent des puces MediaTek.

C'est un soulagement : le problème a déjà été corrigé.

La mauvaise nouvelle est que les personnes utilisant un ancien logiciel sont toujours en danger.

Une faille de sécurité cachée dans le processus de démarrage

Le problème a été découvert par Donjon, un groupe d'experts en sécurité qui travaille avec Ledger, une entreprise qui fabrique du matériel pour les cryptomonnaies.

Leur enquête a révélé une faiblesse dans la chaîne de démarrage sécurisé de MediaTek - le système responsable de garantir qu'un téléphone démarre en toute sécurité et exécute uniquement des logiciels autorisés.

Normalement, ce processus de démarrage agit comme un garde de sécurité à la porte. Si quelque chose de suspect essaie de se charger au démarrage, le système le bloque.

Mais les chercheurs ont trouvé un moyen de contourner cette protection.

Si quelqu'un met la main sur votre téléphone et dispose du bon équipement, il peut le brancher à un ordinateur et trouver des moyens de contourner certaines des mesures de sécurité importantes mises en place.

À partir de là, les choses s'accélèrent rapidement.

Le hack de portefeuille en 45 secondes

Pour montrer comment l'exploit fonctionne, les chercheurs l'ont essayé sur un Nothing CMF Phone 1.

Le résultat était alarmant.

En un peu moins d'une minute, l'attaque a réussi à :

Récupérer le code PIN du téléphone

Déchiffrer le stockage interne

Extraire des phrases de seed de plusieurs portefeuilles crypto populaires

Selon Ledger, l'exploit a fonctionné contre des portefeuilles incluant :

Trust Wallet

Base Wallet

Kraken Wallet

Rabby

Phantom

Tangem Mobile Wallet

Ce qui est encore plus alarmant, c'est que l'attaque n'avait pas besoin que le téléphone soit complètement allumé pour fonctionner.

Les chercheurs ont pu pirater l'appareil même avant que le système Android ait la chance de démarrer.

Combien de téléphones pourraient être affectés ?

Une grande partie du système Android est gérée par des processeurs MediaTek.

Environ un quart des appareils Android, soit environ 25 %, utilisent une combinaison de puces MediaTek et de l'environnement d'exécution de confiance Trustonic, qui est la configuration spécifique que cette vulnérabilité cible.

Cela ne signifie pas nécessairement que tous ces téléphones étaient vulnérables, mais cela donne une idée de l'ampleur du problème potentiel.

Après la découverte du problème, Ledger a informé MediaTek, et ils l'ont corrigé le 5 janvier.

Cependant, les correctifs ne fonctionnent que si les utilisateurs les installent.

Les appareils fonctionnant avec des mises à jour de sécurité obsolètes pourraient rester vulnérables.

Le plus grand avertissement concernant les portefeuilles de téléphone

Cette découverte a également suscité une discussion animée dans la communauté des cryptomonnaies : à quel point les portefeuilles mobiles sont-ils sécurisés, après tout ?

Le directeur technique de Ledger, Charles Guillemet, a été direct et précis.

Il croit que les smartphones n'ont pas été créés avec l'idée d'avoir des mesures de sécurité solides pour protéger leurs clés.

Les puces d'ordinateur ordinaires sont conçues pour être rapides et faciles à utiliser, mais elles ne sont pas fabriquées avec des mesures de sécurité robustes pour protéger des informations très sensibles et secrètes, comme celles utilisées en cryptographie.

Contrairement à d'autres types de portefeuilles, les portefeuilles matériels utilisent quelque chose appelé éléments sécurisés. Ce sont des puces spéciales conçues pour garder les clés privées séparées du reste du système, ce qui aide à les garder en sécurité.

Lorsque quelqu'un avec de mauvaises intentions met la main sur un appareil, être seul avec lui peut faire une grande différence.

Guillemet a fait une déclaration assez frappante : nos smartphones peuvent en fait mettre des informations sensibles, comme les seeds de nos portefeuilles numériques et nos numéros de PIN, à risque d'être exposées, et cela peut se produire même lorsque nous pensons que nos téléphones sont totalement éteints.

Ce que les utilisateurs devraient faire dès maintenant

Pour la plupart des utilisateurs, la solution est simple.

Mettez à jour votre téléphone.

Obtenir la dernière mise à jour de sécurité Android aide à garder votre appareil à l'abri des menaces.

Pour commencer, les experts en sécurité suggèrent de prendre quelques mesures simples pour se protéger.

Gardez le logiciel du téléphone à jour

Évitez de stocker de grandes quantités de crypto dans des portefeuilles mobiles

Utilisez des portefeuilles matériels pour le stockage à long terme

Activez des codes d'accès et un chiffrement solides pour l'appareil

Les portefeuilles mobiles restent pratiques pour les transactions quotidiennes. Mais lorsqu'il s'agit de protéger des avoirs crypto significatifs, de nombreux experts suggèrent toujours de garder les clés privées sur des appareils matériels dédiés.

Un rappel que l'industrie crypto continue de répéter

Le fait que le bug de MediaTek ait peut-être déjà été corrigé ne change pas la situation globale - cela nous montre qu'il y a encore des problèmes majeurs qui doivent être résolus.

La sécurité crypto ne dépend pas seulement des portefeuilles ou des échanges. Elle dépend de chaque couche de technologie en dessous d'eux - des systèmes d'exploitation aux processeurs en passant par les chargeurs de démarrage.

Et parfois, une seule faiblesse dans le système peut le laisser largement ouvert aux problèmes.

Dans cette situation, la porte est restée ouverte pendant très peu de temps, moins d'une minute. Cependant, comme les chercheurs l'ont démontré, cette brève période était tout ce qui était nécessaire.

MediaTek Répare un Bug de Vol de Seed Crypto en 45 Secondes

Articles connexes

Mike Web3

La cryptomonnaie — enfin simple