Une faille critique touchant des puces MediaTek a été débusquée par les chercheur de Ledger. La vulnérabilité concerne 25 % des smartphones Android en circulation dans le monde. Elle permet de piller en quelques secondes les données, y compris les cryptomonnaies, d’un téléphone… même si celui-ci est éteint. Ledger souligne qu’un smartphone ne doit en aucun cas être considéré comme un coffre-fort inviolable.
Le Ledger Donjon, le laboratoire dédié à la cybersécurité de la licorne Ledger, vient de découvrir une vulnérabilité critique dans les processeurs MediaTek. Cette faille de sécurité affecte potentiellement 25% des smartphones Android dans le monde. Les puces MediaTek touchées se retrouvent en effet dans de nombreux téléphones populaires, dont le Nothing CMF Phone 1. Des dizaines de marques sont concernées, dont Xiaomi, Oppo, ou encore Nokia. Seuls les composants qui sont accompagnés du TEE (Trusted Execution Environment) de Trustonic, une zone d’exécution sécurisée et isolée à l’intérieur du processeur principal d’un appareil, sont affectés.
À lire aussi : Une faille touche plus de 200 puces Qualcomm – votre smartphone Android est peut-être en danger
Un pillage de données complet en moins d’une minute
Exploitée par un pirate, la vulnérabilité permet de compromettre un téléphone éteint en moins d’une minute. Un attaquant peut voler toutes vos données sensibles, comme vos photos, vos messages, vos codes PIN, et même vos cryptomonnaies, sans devoir allumer l’appareil.
Dans le cadre de leurs investigations, les chercheurs ont branché un Nothing CMF Phone 1, muni d’une puce MediaTek Dimensity 7300, à un ordinateur portable par le biais d’un simple câble USB. En 45 secondes, l’attaque a permis de récupérer automatiquement le code PIN du téléphone, les données chiffrées du stockage interne et les clés privées de plusieurs apps crypto, comme Trust Wallet, Kraken Wallet, Phantom, Rabby, Tangem et Base. Avec ces clés, il est possible de siphonner le contenu d’un portefeuille sur la blockchain.
Le déroulement de l’attaque
Comme l’expliquent les chercheurs de Ledger, la faille se situe dans ce qu’on appelle la chaîne de démarrage sécurisé d’Android, Secure Boot Chain en anglais. C’est l’un des mécanismes de sécurité les plus fondamentaux d’un smartphone. Avant même qu’Android se lance, le téléphone effectue des vérifications internes, notamment au sujet du noyau. Le système Android complet se lance uniquement quand toutes les vérifications ont été réalisées. À chaque étape, le composant précédent certifie que le suivant est authentique et n’a pas été modifié. C’est à ce moment-là que l’attaquant s’infiltre dans le smartphone via le port USB.
Il peut alors extraire les clés cryptographiques qui protègent tout le chiffrement du téléphone. Une fois ces clés obtenues, le stockage du téléphone peut être décrypté hors ligne, et le PIN forcé en quelques secondes par le biais d’une attaque par force brute. Toutes les données des applications deviennent lisibles, sans déclencher aucune alerte de sécurité.
Notez que ce type de vulnérabilité est exclusivement cantonné aux puces MediaTek. Les smartphones Android animés par une puce Snapdragon de Qualcomm, les Google Pixel et les iPhone disposent quant à eux d’une puce de sécurité dédiée, ce qui est bien plus complexe à pirater que le TEE (Trusted Execution Environment) de Trustonic.
Un smartphone n’est pas un coffre-fort
Charles Guillemet, directeur technique chez Ledger, estime que la faille illustre le fait que « les smartphones ne sont pas conçus pour la sécurité ». Ce ne sont pas des « coffres-forts ». Selon lui, il y a « une différence fondamentale entre les puces généralistes », qui sont « pensées pour la commodité », tandis que « les éléments sécurisés sont conçus pour protéger les données sensibles ».
We undertake this work not to create fear, but so the industry can fix the vulnerability before attackers take advantage. That’s how the ecosystem becomes stronger. More details soon. pic.twitter.com/MC76IcDp7i
— Charles Guillemet (@P3b7_) March 11, 2026
Contrairement à un outil comme les clés Ledger, les smartphones et leurs puces sont d’abord pensés pour être pratiques et faciles à utiliser. C’est pourquoi Ledger recommande, fort logiquement, de ne pas stocker de clés privées offrant un accès à des cryptos directement sur un smartphone.
« Si vos cryptos sont stockées sur un téléphone, leur sécurité dépend du maillon le plus faible du hardware, du firmware ou du software de ce téléphone », déclare Charles Guillemet, soulignant que la faille « illustre la difficulté de stocker des secrets sur des appareils non sécurisés ».
Comme l’explique l’équipe Donjon dans son rapport détaillé, « les smartphones, en particulier, sont souvent perdus ou volés ». En tant qu’utilisateurs, « leur confier nos données revient donc à parier qu’un attaquant qui a un accès physique à notre téléphone, mais ne connaît pas notre secret d’authentification, ne pourra pas récupérer ce qu’il contient », soulignent les chercheurs.
À lire aussi : Google révèle qu’un milliard de smartphones Android sont vulnérables aux cyberattaques
L’importance d’un smartphone à jour
Pour « permettre au secteur de corriger cette vulnérabilité avant que des attaquants n’en profitent », Ledger a prévenu MediaTek et Trustonic de sa découverte. Le 5 janvier 2026, MediaTek a mis à disposition de tous les constructeurs un correctif pour colmater la brèche. Il faut maintenant attendre que tous les fabricants déploient la mise à jour sur leurs appareils. Pour vous protéger, prenez soin d’installer les dernières mises à jour disponibles sur votre smartphone.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.