Il fallait bien un laser pour rappeler qu’un bout de plastique n’est pas une chambre forte. Les chercheurs en sécurité de Ledger ont mis à nu une faille des cartes Tangem : à coups d’injection de fautes par laser, ils sont parvenus à réinitialiser le mot de passe protégeant le wallet. Un bémol de taille avant de paniquer : l’opération réclame un accès physique à la carte et un laboratoire estimé à 250 000 dollars.
Points clés
- Des chercheurs de Ledger ont réinitialisé le mot de passe de wallets Tangem via injection de fautes par laser
- L’attaque exige un accès physique à la carte et un laboratoire estimé à 250 000 dollars
- La faille étant matérielle, les cartes concernées ne peuvent recevoir aucun correctif
Comment fonctionne l’attaque
La technique s’appelle l’injection de fautes par laser. Le principe : bombarder la puce d’un rayon lumineux calibré pour perturber son fonctionnement à l’instant précis où elle vérifie le mot de passe. En provoquant le bon glitch au bon moment, les chercheurs contournent le contrôle et remettent le compteur à zéro, ouvrant l’accès au portefeuille.
C’est une attaque invasive au sens propre : il faut la carte en main, du matériel de pointe et une expertise que peu de gens possèdent. On est loin du malware envoyé par e-mail. Le voleur du dimanche restera bredouille.
Le vrai problème : pas de patch possible
Là où l’affaire pique, c’est que les cartes Tangem concernées ne peuvent pas recevoir de correctif. La faille est logée dans le matériel, et le matériel, lui, ne se met pas à jour d’un simple téléchargement. Ce qui est gravé dans le silicium y reste. Les utilisateurs déjà équipés se retrouvent donc avec une vulnérabilité impossible à colmater à distance.
Le tableau reste à relativiser. Sans possession physique de la carte et sans laboratoire hors de prix, un attaquant n’ira nulle part. Pour l’écrasante majorité des détenteurs, le risque concret demeure faible.
Ce que ça change pour les hardware wallets
L’épisode ravive un vieux débat du milieu : le hardware wallet vend de la tranquillité, mais aucun objet physique n’est inviolable face à un attaquant déterminé, outillé et en possession de l’appareil. La bonne vieille règle tient toujours : ne laissez pas traîner votre portefeuille matériel, et ne comptez pas sur le seul mot de passe de la carte comme dernier rempart. Un laser de six chiffres reste heureusement un luxe que peu de cambrioleurs peuvent s’offrir.
