Trezor et Ledger nient avoir été piratés

Les affirmations d’un hacker selon lesquelles il vend des milliers d’informations personnelles glanées dans ces portefeuilles numériques ont été rejetées par les parties concernées

Trezor (SatoshiLabs s.r.o) et Ledger SAS, deux fournisseurs de portefeuilles pour crypto-monnaies, ont démenti les rapports selon lesquels ils auraient été récemment piratés.

Des rapports précédents affirmaient que les informations privées de leurs clients étaient déjà mises en vente sur le dark web.

La plainte pour piratage informatique a été déposée par Under The Breach, un service de surveillance et de prévention des violations de données. La société a affirmé dimanche que les données des deux sociétés avaient été obtenues par un exploit Shopify. De plus, le hacker affirme également avoir volé des données de BnkToTheFuture, une société d’investissement en ligne, ainsi que de KeepKey, un fournisseur de portefeuille matériel.

Bien qu’il y ait eu des cas de piratage d’utilisateurs individuels de Shopify, il n’a jamais été vérifié que Shopify lui-même en était victime.

Les bases de données volées contiendraient les informations sur les clients (notamment les noms, adresses, numéros de téléphone portable et adresses e-mail) de plus de 80 000 utilisateurs. Cependant, elles ne comprennent pas les clés des portefeuilles ou toute autre information nécessaire pour permettre l’accès aux avoirs en crypto-monnaie des utilisateurs.

Le hacker qui fait l’offre pour ces bases de données serait le même hacker (ou groupe de hackers) qui est à l’origine de la violation du Forum Ethereum en 2016.

« Des rumeurs se propagent selon lesquelles notre base de données eShop a été piratée par un exploit Shopify. Notre eShop n’utilise pas Shopify, mais nous enquêtons néanmoins sur la situation. Nous avons aussi régulièrement purgé de la base de données les anciens dossiers des clients afin de minimiser l’impact possible » annonce Trezor dans un tweet.

There are rumors spreading that our eshop database has been hacked thru a Shopify exploit. Our eshop does not use Shopify, but we are nonetheless investigating the situation. We've been also routinely purging old customer records from the database to minimize the possible impact.

— Trezor (@Trezor) May 24, 2020

Ledger s’est également rendu sur Twitter pour clarifier sa version des faits, déclarant que son équipe d’e-commerce n’avait encore trouvé aucune anomalie dans la base de données « piratée ».

« Des rumeurs prétendent que notre base de données Shopify a été piratée par un exploit Shopify. Notre équipe de e-commerce vérifie actuellement ces allégations en analysant la soi-disant base de données piratée, et jusqu’à présent elle ne correspond pas à notre vraie base de données. Nous poursuivons cependant les enquêtes et prenons l’affaire au sérieux ».

Shopify s’est joint aux deux entreprises pour affirmer qu’il n’y avait pas lieu de s’inquiéter, car elles avaient enquêté sur les allégations et « n’ont trouvé aucune preuve pour les étayer et aucune preuve d’une quelconque transgression des systèmes de Shopify ».

Under The Breach a fait des reportages fiables sur plusieurs cas de piratage informatique dans le passé. Il n’y a actuellement aucune raison de croire que son rapport sur le piratage a été fait avec une intention malveillante, puisqu’il a simplement donné des détails qui ont déjà été fournis par un pirate sur le dark web.

« À ce stade, il n’y a absolument aucune preuve que le hacker derrière les fuites présumées de @Trezor et @Ledger dit la vérité, et les échantillons qu’il a partagés ne correspondaient pas aux enquêtes internes de ces entreprises. Je suivrai cela de près et je vous tiendrai au courant si quelque chose change » ont-ils précisé dans un tweet.

https://twitter.com/underthebreach/status/1264893076146982912?s=20

Traduit par Carolane de Palmas