Plusieurs applications crypto qui intègrent la bibliothèque ConnectKit de Ledger, y compris Revoke cash et SushiSwap, ont été compromises. Ledger a confirmé que son Connect Kit a été compromis et a averti les utilisateurs de ne pas interagir avec les DApps pour le moment.
Ledger a reconnu la faille dans son code et a annoncé avoir supprimé une version compromise de son Connect Kit, en la remplaçant par une version sûre et authentique pour corriger le fichier affecté.
Sur le réseau social X (anciennement Twitter), Ledger rappelle aux utilisateurs qu’il est important de se fier uniquement aux informations affichées sur votre Ledger lors de vos signatures. S’il y a une différence entre l’écran affiché sur votre appareil Ledger et l’écran de votre ordinateur/téléphone, arrêtez immédiatement cette transaction.
Contrairement à certaines rumeurs, les appareils Ledger n’ont pas été compromis. Le problème provenait uniquement de l’extension de connexion.
Hudson Jameson, vice-président de Polygon Labs, a exprimé que même après la correction du code malveillant par Ledger, il est nécessaire pour les projets utilisant cette bibliothèque de se mettre à jour. Cette mise à jour est essentielle pour assurer la sécurité dans l’utilisation des DApps qui intègrent les bibliothèques Web3 de Ledger.
Une faille de sécurité est apparu aujourd’hui affectant plusieurs applications décentralisées (DApps). Cette situation est due à une vulnérabilité dans la bibliothèque de connecteur Ledger, utilisée par des DApps telles que SushiSwap, Zapper, Balancer et Revoke.cash.
Le problème a été signalé pour la première fois par le directeur technique de SushiSwap, Mathew Lilley. Selon lui, un connecteur Web3 communément utilisé a été compromis, permettant l’injection de code malveillant dans de nombreuses DApps. Cette vulnérabilité a permis l’insertion d’adresses de comptes de drainage dans le code vulnérable.
La critique est dirigée vers Ledger, dont le système de livraison de contenu (CDN) aurait été compromis. Cela a entraîné une série d’erreurs critiques, notamment le chargement de JavaScript à partir d’un CDN compromis sans verrouillage de version.
Ledger a conseillé aux utilisateurs d’éviter toute interaction avec les DApps, soulignant que leur Connect kit a été compromis. L’attaque ne semble pas isolée mais plutôt une offensive à grande échelle contre plusieurs DApps.
Ledger a reconnu la vulnérabilité dans son code et a déclaré avoir retiré la version malveillante de son Connect kit Ledger, tout en mettant en place une version authentique pour remplacer le fichier malveillant.
L’affaire est toujours en cours de développement, et des informations supplémentaires seront ajoutées au fur et à mesure de leur disponibilité.
Cet article est publié à titre indicatif et ne doit pas être considéré comme un conseil en investissement. Certains des partenaires présentés sur ce site peuvent ne pas être régulés dans votre pays. Il est de votre responsabilité de vérifier la conformité de ces services avec les régulations locales avant de les utiliser.
Attention aux risques : La négociation de crypto-monnaies et d’instruments financiers comporte des risques élevés, notamment la perte partielle ou totale de votre capital, et peut ne pas convenir à tous les investisseurs en raison de la forte volatilité des marchés et des facteurs économiques, politiques ou réglementaires pouvant influencer les prix. Avant d’investir, vous devez évaluer attentivement vos objectifs, votre niveau d’expérience et votre tolérance au risque, et consulter un conseiller financier indépendant si nécessaire. Les informations publiées sur InvestX.fr et sur l’application InvestX sont fournies à titre informatif et ne constituent pas des conseils en investissement. InvestX décline toute responsabilité concernant l’exactitude ou l’utilisation des informations diffusées, et rappelle que certains partenaires présentés sur le site peuvent ne pas être régulés dans votre juridiction, ce qu’il vous appartient de vérifier avant toute utilisation de leurs services.
