Reprise du message précédent :
Nous vivons dans un monde dangereux

C'est clair.
 
Sans compter l'investissement matos nécessaire pour le déployer at scale, je suppose que c'est pas gratos les minimodems et esim
 
Bref, multisig FTW...

Je repense à tout ceux qui se moquaient de moi avec mes thunes sur un CEX
 
 

Je suis là. J'ai toujours lu qu'il est préférable de commander sur le site officiel avec une fausse adresse de facturation et une livraison en point relais. Et ne pas prendre des versions avec batterie car ça ne sert à rien et ce n'est pas durable.

C'était pas ça les reco de base quand on achète un Ledger ?

Cela dit, je ne vois pas en quoi Ledger est fautif ou responsable dans cette affaire. C'est pas Ledger qui a trafiqué les devises.
Imagine t'achète des Marlboro dans un bureau de tabac qui change lui-même le tabac des cigarettes pour y mettre de la merde. En quoi Marlboro serait fautif ?

Si c'est confirmé que la faille est bien du côté distribution, je suis d'accord avec toi
MAIS en terme d'image de marque forcément que ça retombe sur la gueule de Ledger (d'autant + qu'ils ont fait le choix d'avoir des distributeurs officiels)

Ah, j'ai vérifié: ben plein de trucs en tout genre inutiles unlockés -perso j'préfèrerais juste un airdrop banal: du blé quoi, genre un p'tit ETH, le minimum syndical! Pffff, ras le bol des points et classements...  
Enfin, mes cryptos sont toujours là, c'est déjà pas mal, on va pas chouiner trop. Mais un peu quand même, j'sais même plus à quoi ressemble un airdrop...

Peut être mais au niveau PR le problème va être 100% pour leur tronche.

C'est sûr. Surtout qu'ils avaient communiqué pas mal sur la sécurité physique des appareils, comment une modif devait être détectée, etc. Or, des malins ont trouvé la faille, qui n'avait pas été considérée (c'est certain que c'est facile avec le recul).

 
Après, ca semble aussi éditer, sur leur site (je ne suis pas certain des infos qui ont été "mises à jour" ):

J'y ai droit aussi.

Mais j'hésite vraiment à mettre mon mail nom et mon adresse  

14€ de fdp pour un machin qui vaut 129€ c'est un bon plan , mais j'en ai pas vraiment besoin, pas sur de vouloir prendre le risque

Disons que Ledger est responsable de la supply et du contrôle qualité. S'il y a un "vendeur agréé" c'est qu'il coche les cases de sécurité et qu'ils ont fait un audit préalable avant de donner l'agrément de vente. Les victimes n'ont pas acheté n'importe ou. Alors certes, "acheter directement chez ledger + pas de batterie + etc". Mais ta position initiale c'était de dire "on n'a pas d'info, pas de communiqué officiel, c'est du FUD, OSEF" est critiquable parce que dans ces situations là, il vaut parfois mieux agir avant le communiqué officiel, quitte à ce que ça soit une fake news mais sans dégats.

Entre le moment ou ça a été dévoilé, et ou la com' de Ledger a fini par donner des éléments, il s'est écoulé 3/4 jours et la plupart des informations (notamment que la supply chain est compromise) sont venus de gens qui ont mené eux même leur enquête, au lieu d'attendre les infos officielles de ledger. Il est par exemple vital de savoir que la supply chain est compromise en europe et en asie et qu'il ne faut plus acheter de ledger jusqu'à ce que tout soit clarifié. L'opération a commencé visiblement aux alentours de 2024 donc qui sait jusqu'ou c'est compromis, ça peut être dans une des usines de fabrication des ledger...

Pareil, il y a un truc qui me surprend, CryptoBillis a été vendu (avec l'agrément) et Ledger n'a pas été informé du changement de propriétaire et du transfert de l'agrément de vente, or Ledger devrait surveiller en permanence ce genre de choses, parce que la moindre couille va porter atteinte à leur réputation (ce qui est le cas actuellement, ils sont dead là)

Même si l'attaque ne portait que sur un modèle (ce qui reste à établir), tu sais de base que tu ne peux plus faire confiance au process de ledger en matière de sécurité.

Tu dois possiblement sur-estimer ce qui est réellement fait comme éventuelles "vérifications" dans la pratique.
Société établie + discussions + engagements par contrat, est de manière probable tout ce qu'il y a réellement.
 
Après, si par exemple un revendeur lui-même se mettait à fournir des ledgers contrefaits ou bricolés, après avoir été légitime pendant un temps, peux-tu véritablement l'empêcher ? (Je ne sais pas si c'est ce qui s'est passé ici. Peut-être pas).
 
Une bonne partie reposait aussi sur le hardware, la puce, la détection par le software, etc. Ce n'est pas en faisant toujours davantage chi*r le monde avec de la "compliance" que tu peux acomplir des miracles, à mon sens.
Et on peut considérer que Ledger a éventuellement failli sur le hardware.

Oui, m'étonnerait que Ledger ait audité quoique ce soit chez Amazon ou Fnac

Ca devrait être un minimum obligatoire. Et aussi, certains pointent un défaut de construction, qui est celui de laisser un espace suffisant pour mettre une autre batterie...

Mais bref, ils font les morts sur twitter, après avoir affirmé péremptoirement que c'était un incident limité à très peu de devices et uniquement en asie

Avec un peu de chance on va découvrir aussi qu'il y a des ledgers vérolés a la fnac

Edit : dans le cas de Mark Karpeles, il semblerait que la ledger avait été achetée sur amazon, d'après Hasheur (dans sa dernière vidéo, qui est un grand flou artistique, il parle pour parler)

Oui c'est assez probable que leur responsabilité en terme de "manque de contrôle" soit engagé, contrôles chez les revendeurs et contrôle au moment du changement de proprio / ont il vérifié quoique ce soit ?
 
Et peut être aussi en terme d'informations trompeuses "sécurité, vous craignez rien, device authentique blabla..." suivant ce qu'ils présentaient à l'écrit au moment de l'achat du client.
 
Puis éventuel défaut technique / manque de protection de leur device sur lesquels ils pourront se faire attaquer.
 
 
Oui ça doit suer chez Ledger

Je ne vois pas vraiment ce que ça aurait changer de faire un audit minimum. Si c'est juste un audit "minimum", ça n'empêchera pas le fournisseur de trafiquer les ledger ensuite. La seule et unique solution pour empêcher un fournisseur de trafiquer un ledger, c'est de racheter le fournisseur et d'en avoir le contrôle à 100%. Ce qui n'a évidemment aucun sens économique.

J'attends de voir le montant réel des pertes. Mais si ça reste à ~90M comme actuellement, c'est franchement très faible au regard de la part de marché pourtant gigantesque de Ledger dans les hardware wallet, et c'est donc effectivement un incident très limité. C'est dramatique pour les personnes concernées, mais ce n'est pas du tout un hack massif à l'échelle de l'univers crypto.

Email poubelle + livraison en poste restante

C'est assez dramatique pour la réputation et l'image de Ledger, peu importe les pertes.
 
De savoir que des devices compromis peuvent être en circulation sans pb, c'est tout sauf rien pour eux et pour l'image qu'ils souhaitent véhiculer (sureté/sécurité)

Oui ça c'est clair.

Mais Ledger est victime de cette situation, il n'en est pas l'auteur et ne l'a pas souhaité.

Ouais, on est selon moi très loin de la mauvaise pub qu'ils ont eu quand ils ont lancé ledger recover. Là c'est subi.

 
Pas auteur, mais peut être en partie responsable quand même, manque de protections peut etre / ça a l'air facile de bidouiller leur device, ils s'ouvrent facilement, y a de la place pour bricoler etc... ils pourraient se faire attaquer sur la vulnérabilité de leur device et dans tous les cas, ça ne plaide pas du tout en faveur de la solidité de leur matos / mauvaise pub.
 
Attention aussi aux informations qu'ils donnent au moment de l'achat, s'ils assurent quelque part que le matos est sûr/authentique etc...  
 
S'ils ne controlent rien, ils ont pas intérêt à s'être avancé à l'écrit de ce qu'ils assurent ou n'assurent pas, ils pourraient se faire attaquer là dessus aussi.
 
Et sur les controles on verra aussi, le revendeur a changé de proprio, ont ils checké quoique ce soit, s'ils ne checkent rien du tout de ce qui se passe chez leurs revendeurs agréés.
 
 
A voir, je sais pas où ça ira, mais Ledger a un vrai risque de responsabilité qui sera surement étudié soigneusement, les mecs qui ont perdu leur pognon, je pense pas qu'ils vont laisser couler tranquillement

C'est censé être du "sûr", ca, maintenant ? Lorsque je lisais hier, ca semblait beaucoup de la spéculation sur les dires d'un seul gars. As-tu par hasard une source crédible qui confirme la chose ?
 
Parce que si on part de l'hypothèse du revendeur malhonnête qui aurait orchestré le truc (pareil, pas confirmé pour l'instant, si ? Même s'il y a éventuellement bien eu revente ?), comment ca en arrive à des devices douteux supposément chez MediaMarkt ?  

 
Oui, la première chose à faire avant d'acheter un hardware wallet, c'est de se demander si on en a besoin.
Ce qui ne semble pas être le cas de plein de monde.

Ok je ne connaissais pas:

Prix Poste restante
Pour un transfert de courrier dans une Poste restante, comptez :

Prix au retrait par objet
- Correspondance : 1,69 €
- Journal, magazine : 0,83 €
- Colis Colissimo : 6,11 €

https://www.laposte.fr/conseils-pra [...] -son-choix

Avec les frais de livraisons en plus, il revient finalement très cher ce "Trézor gratuit"  

Et j'en ai pas du tout l'utilité, donc je vais passer mon tour.  

Ça a dû changer, j'ai jamais eu à payer quoi que ce soit en poste restante.

Les 37 et 53 EUR, c'est pour du transfert. Toi, tu fais livrer direct avec la mention poste restante, tu n'auras que les 6,11 EUR à payer. Pas tant que cela.

Les dégâts réputationnels sont massifs, je serais surpris qu'il se remettent de cet épisode.

OSEB, la confiance est brisée, tu achèterais un Ledger dans un avenir proche ?

D'accord sur les dégats, mais ils peuvent s'en remettre s'ils remboursent et spinnent tout le truc en "On assume, on couvre, ca nous a permis d'apprendre, on va faire (encore) mieux grâce à cet apprentissage douloureux..."
 
Le remboursement jouera même en leur faveur et leur évitera des ennuis. Mais faut (pouvoir) sortir le pognon.
 
Sans remboursement, oui, c'est sans doute un peu mort pour eux

Ils font 100M€ de chiffres d'affaires, ça va être compliqué de rembourser 100M€