Trezor et Ledger “enquêtent sur les allégations” selon lesquelles un hacker vendrait des données volées

Les fournisseurs de hardware wallets Trezor et Ledger enquêtent sur ce piratage présumé, mais ShapeShift, qui exploite KeepKey, n’a pas encore publié de déclaration

Les fournisseurs de hardware wallet – Trezor et Ledger – ont déclaré que leurs équipes de sécurité enquêtaient sur des allégations selon lesquelles un pirate informatique aurait volé des informations dans leurs bases de données et vendrait maintenant des données de clients en ligne.

La brèche affecte également les utilisateurs de KeepKey, un autre portefeuille matériel de crypto-monnaie populaire par la plateforme de cryptocrédit, Shapeshift.

Selon Under The Breach, le hacker a également violé la « base de données SQL complète du célèbre site d’investissement BankToTheFuture ».

https://twitter.com/underthebreach/status/1264460979322138628?s=20

La société de cybersécurité a publié des captures d’écran qui montrent prétendument des publicités que le hacker avait publiées pour la vente des données. Ces données comprennent les adresses électroniques, les noms, les numéros de téléphone et les adresses des utilisateurs. Les publicités ne contiennent pas les mots de passe des utilisateurs.

Selon The Breach, le hacker aurait « obtenu » les données personnelles par le biais d’un exploit sur la plateforme de e-commerce Shopify.

Selon Under The Breach, BankToTheFuture n’a pas pris ces affirmations au sérieux. Au moment de la mise sous presse, ShapeShift n’avait pas non plus publié de déclaration sur le piratage présumé et la vente ultérieure des données de ses utilisateurs.

Trezor et Ledger ont néanmoins pris l’allégation au sérieux et ont posté des réponses sur Twitter.

Trezor a noté qu’il avait pris les “rumeurs” au sérieux bien qu’il maintienne que la plateforme « n’utilise pas Shopify ». Dans ce cas, il estime que l’accès aux données des utilisateurs de Trezor via une exploitation de sa boutique en ligne Shopify était hautement impossible.

There are rumors spreading that our eshop database has been hacked thru a Shopify exploit. Our eshop does not use Shopify, but we are nonetheless investigating the situation. We've been also routinely purging old customer records from the database to minimize the possible impact.

— Trezor (@Trezor) May 24, 2020

La société a toutefois révélé qu’elle enquêtait sur l’affaire.

« Nous avons aussi systématiquement supprimé de la base de données les anciens dossiers des clients afin de minimiser l’impact éventuel », a ajouté Ledger dans le tweet.

Ledger a indiqué qu’il avait pris l’affaire au sérieux et qu’il continuait à enquêter. Cependant, la société a comparé les « captures d’écran partagées sur les médias sociaux » avec sa base de données, et « cela ne correspond pas ».

Le prétendu compromis sur Ledger et Trezor est du même hacker qui a piraté le forum Ethereum en 2016. Les captures d’écran de Under The Breach partagées sur Twitter montrent que le hacker revendique l’authenticité des données. Ils n’acceptent également que de « l’argent » en échange des données.

Shopify aurait déclaré qu’aucun compromis de ce type n’avait eu lieu. Selon Candice So, responsable de la communication du géant du e-commerce, rien ne permet de penser qu’une brèche a eu lieu.

« Nous avons enquêté sur ces affirmations et n’avons trouvé aucune preuve pour les étayer, et aucune preuve d’une quelconque compromission des systèmes de Shopify », a déclaré So à la publication crypto Decrypt.

Ni Ledger ni Trezor n’ont publié de déclarations concernant leurs enquêtes respectives.