Tangem identifie et corrige une vulnérabilité potentielle

Tangem a identifié et corrigé rapidement une vulnérabilité de sécurité potentielle ayant concerné un très faible pourcentage d’utilisateurs du wallet. Après une enquête approfondie, nous confirmons qu’aucune clé privée n’a été compromise, aucun fonds utilisateur n’a été perdu et aucun compte n’a été accédé. Le problème a été détecté de manière proactive et seule une fraction infime d’utilisateurs — moins de 0,1 % — pouvait être concernée dans des circonstances très spécifiques.
 

Quel était le problème ?

Lors de l’activation d’un wallet avec une phrase de récupération — que ce soit en générant ou en important une phrase — la clé privée était par erreur enregistrée dans les journaux de l’application mobile. Ces journaux pouvaient ensuite être accessibles lors d’un échange avec notre support.
 

Qui pouvait potentiellement être concerné par ce problème ?

Ce problème concerne les utilisateurs qui :

• Ont activé un wallet avec une phrase de récupération AND ;
• Ont contacté notre support through the app dans les 7 jours suivant l’activation.

Seule une combination of these two scenarios pouvait créer une vulnérabilité. Si vous avez généré ou importé une phrase de récupération mais n’avez pas contacté le support directement depuis l’application dans la période de conservation des journaux (7 jours), vous n’êtes pas concerné.
 

Qui n’est PAS concerné ?

La grande majorité des utilisateurs Tangem n’a pas été impactée par ce problème, notamment :

• Users who activated the wallet WITHOUT a seed phrase : Si vous avez activé votre wallet sans phrase de récupération (seedless), vos clés privées ont été générées directement sur la puce de la carte, et ce problème ne vous concerne en aucun cas. Avec ce mode seedless, aucune clé privée n’est générée dans l’application mobile et ne peut donc être enregistrée dans les journaux.
   
• Users who did not contact support through the app : Que votre wallet utilise une phrase de récupération ou soit seedless, vous n’avez aucune inquiétude à avoir si vous n’avez pas contacté le support Tangem via l’application. Par ailleurs, tous les journaux ont été stockés de façon sécurisée pendant une courte période puis supprimés rapidement.
   

Pourquoi ce problème est-il survenu ?

Nous avons introduit un mécanisme avancé de journalisation NFC afin d’améliorer les performances de l’application sur certains appareils. Cependant, ce mécanisme contenait un bug qui n’a pas été détecté lors des revues de code ou des tests initiaux.
 

Comment Tangem a résolu ce problème

Voici les mesures prises pour corriger la situation :

• Bug fixed : Le bug a été identifié et corrigé rapidement dans les dernières versions de l’application sur l’App Store (version 5.19.1) et Google Play (version 5.19.2). L’application est désormais sécurisée et aucune donnée privée n’est enregistrée dans les journaux, quelle que soit la situation.
   
• Logs and info deleted : Tous les journaux et pièces jointes envoyés à notre support ont été définitivement supprimés pour garantir qu’aucune donnée résiduelle ne subsiste.
   
• Notifying users : Une notification dans l’application sera envoyée à tous les utilisateurs ayant activé leur wallet avec une phrase de récupération, leur demandant s’ils ont contacté le support via l’application mobile dans les 7 jours suivant l’activation. Ceux qui répondront par l’affirmative devront suivre les recommandations détaillées dans cet article.
  Important : Les employés Tangem ne vous contacteront jamais en premier sur Telegram ou d’autres réseaux sociaux.
   
• Improved security measures : Nous avons mis en place des mesures et protocoles supplémentaires afin d’éviter que ce type de problème ne se reproduise à l’avenir.
   

Que faire si vous êtes concerné ?

Nous vous recommandons fortement de suivre ces étapes pour garantir une sécurité maximale :

1. Mettez à jour l’application Tangem vers la dernière version.
    
2. Transfer your funds out of the affected Tangem Wallet. 
    
3. Réinitialisez le wallet aux paramètres d’usine.
    
4. Reactivate the wallet without a seed phrase or create a new seed phrase.
    
5. Transférez à nouveau vos fonds vers votre wallet Tangem fraîchement activé.
    

Bug Bounty program

Tangem propose un Bug Bounty program pour renforcer la sécurité de ses systèmes. Cette initiative invite les chercheurs en sécurité, hackers éthiques et la communauté à identifier d’éventuelles vulnérabilités. Nous sommes convaincus que la collaboration est essentielle pour maintenir la confiance des utilisateurs. 

Participants who identify valid vulnerabilities will be eligible for rewards, ensuring that potential risks are mitigated before they can impact users.

Learn more about the bug bounty program.
 

Final

Cet incident n’a fait aucune victime : aucune clé privée n’a été compromise, aucun fonds n’a été perdu et aucun accès non autorisé n’a eu lieu. La vulnérabilité potentielle nécessitait une combinaison de circonstances très précises, qui ne concernait qu’un nombre extrêmement restreint d’utilisateurs Tangem. Nous restons pleinement engagés à offrir l’expérience de cold wallet la plus sécurisée et la plus simple d’utilisation.