Une entreprise de sécurité en intelligence artificielle (IA) a rendu public un bug de l'application Ledger Ethereum. Ledger dit avoir déjà corrigé la faille discrètement, deux semaines plus tôt.
Le directeur technique Charles Guillemet a qualifié la divulgation de peur-mongering. Le correctif a été expédié le 12 août avec une note d'une ligne et sans bulletin de sécurité.
Ce que le bug de l'application Ledger Ethereum a réellement fait
Ledger vend une promesse fondamentale. L'écran vous montre ce que vous signez. Cette promesse a un nom. Ledger l'appelle la signature claire, et elle transforme le code de transaction brut en mots simples sur l'écran de l'appareil.
TestMachine dit avoir trouvé un moyen de contourner cela. L'entreprise construit un agent IA appelé Azimuth qui chasse les exploits dans les contrats intelligents. Sur son propre benchmark EVMBench, Azimuth détecte 86,3 % des bugs connus avec environ 2,7 % de faux positifs.
Voici la faille en termes simples. Un site web malveillant pourrait envoyer à l'appareil une seconde commande pendant que vous lisiez encore la première.
Le canal entre le navigateur et l'appareil s'appelle l'Unité de Données de Protocole d'Application, ou APDU. Il continuait d'écouter pendant la révision. Donc, il a accepté l'échange.
Vous verriez un petit transfert à l'écran. Ensuite, vous appuyeriez sur approuver. Et vous signeriez en réalité une approbation de jeton illimitée à un inconnu.
C'est cette dernière partie qui est importante. Chainalysis a retracé environ 1 milliard de dollars en crypto volés par phishing d'approbation depuis mai 2021. Ces victimes ont signé elles-mêmes les approbations.
TestMachine dit qu'il a confirmé le bug sur un Ledger Flex. Ledger a vendu plus de 7 millions d'appareils dans 180 pays.
L'équipe Donjon de Ledger dit qu'elle a été la première à le découvrir.
Guillemet renverse la chronologie. Donjon est l'équipe de hacking interne de Ledger. Il dit qu'elle a détecté le bug avec ses propres outils d'IA et a expédié le correctif en premier.
Le changelog public confirme la date. La version 1.22.2 est arrivée le 12 août. Sa note de sécurité entière dit « Problèmes de sécurité. »
Donjon a publié 22 bulletins de sécurité numérotés. Aucun d'eux ne couvre ce bug. Le dernier, daté du 4 juin, traite d'un problème de récupération de clé Monero à la place.
Ce silence est le vide dans lequel TestMachine est entré. Ledger a comblé le trou, puis n'a jamais informé les propriétaires de ce qu'il avait fermé.
La plainte plus aigüe de Guillemet concerne les manières. Il dit que TestMachine a contacté le programme de récompense seulement après que le correctif ait été expédié. Il n'a jamais parlé avec l'équipe de récompense.
« ...Puis ils ont publié un fil impliquant que le problème est non résolu. Ce n'est pas le cas. Ce n'est pas de la recherche en sécurité. C'est fabriquer de la peur pour attirer l'attention, » a remarqué Charles Guillemet, CTO de Ledger.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
TestMachine a loué la rapidité du correctif et a refusé la récompense. Ledger paie des primes en Bitcoin, à un montant qu'il fixe au cas par cas.
L'IA a trouvé le bug deux fois, mais les humains ont quand même combattu.
Les deux parties ont utilisé l'apprentissage automatique pour atteindre le même défaut. C'est la partie à surveiller.
Ledger a déjà fait cet argument auparavant. Ses dirigeants ont déclaré pendant des mois que les attaquants IA menacent les portefeuilles plus que le matériel faible.
Guillemet a tracé sa ligne à la discipline.
« La recherche à la vitesse de l'IA ne rend l'écosystème plus sûr que si les personnes qui le font suivent toujours des principes de sécurité de base. Divulguer de manière responsable. Vérifiez avant de publier. Ne confondez pas le bruit avec une découverte. »
Le combat lui-même est familier. Les entreprises de sécurité se sont fait entendre après avoir piraté un appareil Trezor, et les chercheurs de CertiK ont combattu Kraken sur les termes de divulgation en 2024.
Le défaut l'est aussi. En janvier 2021, Donjon a révélé que cette même application Ethereum ne montrait pas les données de transaction pour les actifs non pris en charge. Même application, même leçon. Ce que vous avez vu n'était pas ce que vous avez signé.
L'IA met maintenant en évidence ces bugs en quelques heures. Les fournisseurs et les chercheurs coordonnent toujours à la vitesse humaine. Cet écart est là où cet argument vit.
Pour les propriétaires, la solution est ennuyeuse. Ouvrez Ledger Live, mettez à jour l'application Ethereum et vérifiez qu'elle indique 1.22.2.
Source : BeInCrypto
