L’affaire des Ledger piégés vendus en Asie du Sud-Est a désormais sa suite par e-mail. Selon Journal du Coin, une campagne de phishing pousse les utilisateurs inquiets vers une fausse « mise à jour du firmware ». La page imite le contrôle d’authenticité de Ledger, puis réclame la phrase de récupération. L’alerte vient de SlowMist, la société de sécurité qui avait confirmé le schéma des premiers implants. Le message à retenir est simple : rien ne se met à jour depuis un site web.

Le scénario de la fausse mise à jour Ledger

L’e-mail est signé « The Ledger Team ». Il annonce un correctif de firmware contre des « menaces spyware » repérées en Malaisie et cite cinq appareils concernés : Nano S Plus, Nano X, Flex, Stax et Nano Gen5. Le bouton « Update Now » mène à une page qui reproduit le « Genuine check » que Ledger effectue dans son application. L’utilisateur choisit son modèle, puis on lui demande ses 24 mots pour « restaurer » ou « synchroniser » l’appareil.

À ce stade, la partie est perdue. Comme le rappelle Journal du Coin, celui qui détient la phrase de récupération peut recréer le wallet sur n’importe quel appareil et le vider sans jamais toucher au Ledger. L’implant matériel découvert la semaine dernière visait exactement ce résultat : il lisait les 24 mots à l’écran pendant la configuration. Le phishing obtient la même chose sans puce, en misant sur la peur. Les domaines utilisés par les escrocs n’avaient pas été rendus publics au moment de l’alerte.

Une affaire déjà lourde

Le contexte explique l’efficacité du piège. Depuis le 9 octobre, des centaines de détenteurs de Ledger achetés chez CryptoBilis, revendeur agréé en Indonésie, en Malaisie et aux Philippines, ont vu leurs cryptos disparaître. Bitquery recense 102 millions de dollars siphonnés sur 324 wallets et six blockchains, un chiffre vérifié au 15 octobre que Ledger n’a ni confirmé ni contesté. Chainalysis a même relevé qu’une des plus grosses victimes était elle-même un escroc, délesté de plus de 60 bitcoins, soit environ 4,8 millions de dollars.

Ledger parle d’un « groupe criminel très organisé » qui a ouvert des appareils authentiques pour y greffer des composants, avant de les remettre en circulation via des revendeurs d’Asie du Sud-Est. Le fabricant souligne que la puce, le système d’exploitation et les serveurs sont restés intacts : « c’était une attaque localisée sur la distribution », écrit l’entreprise.

Pourquoi une phrase de récupération ne se saisit jamais en ligne

Les consignes de Ledger, reprises par Journal du Coin, tiennent en quelques règles. Une mise à jour de firmware se fait uniquement dans l’application Ledger Wallet (l’ancien Ledger Live), et chaque étape se confirme sur l’écran de l’appareil. Ledger n’envoie aucun e-mail demandant une mise à jour. Les 24 mots ne se saisissent que sur l’appareil lui-même, jamais sur un ordinateur, un téléphone ou une page web, et le support ne les demande jamais.

Ledger ne contacte personne par SMS, WhatsApp, Telegram, appel téléphonique ou courrier postal. Les seuls domaines légitimes sont ledger.com, ledger.fr, ledgerwallet.com et ledger.zendesk.com : gare aux variantes comme « legder » ou « leqder ». Il ne faut jamais valider sur l’appareil une transaction dont on n’est pas l’auteur. Enfin, un Ledger ne peut pas être désactivé à distance, si bien que toute menace de blocage « faute de vérification » relève de l’arnaque. SlowMist résume la parade : ne jamais cliquer sur un lien pour mettre à jour, ne jamais entrer sa phrase de récupération nulle part.

Vérifier son appareil et l’acheter par un canal officiel

L’authenticité d’un appareil se contrôle dans l’application officielle, pas sur une page reçue par e-mail. Ledger recommande de télécharger Ledger Wallet uniquement depuis shop.ledger.com et d’ignorer les messages privés sur les réseaux sociaux. Les faux comptes se signalent à @ledgerprotect sur X.

Pour l’achat, mieux vaut passer par un canal officiel. Selon Ledger, les contrôles menés en magasin et en entrepôt en Europe n’ont trouvé aucune unité modifiée. Le fabricant a suspendu les ventes chez ses revendeurs agréés d’Asie du Sud-Est et de Hong Kong, interdit la revente d’appareils retournés et exige que le stock reste en réserve jusqu’à l’achat.

Pour un appareil acheté chez CryptoBilis ou un autre revendeur de la région, Ledger demande de ne pas le configurer s’il est encore sous blister. S’il est déjà en service, la consigne est de créer un nouveau wallet sur un appareil sain, avec une nouvelle phrase de récupération, d’y transférer les fonds, puis de contacter le support uniquement par le chat de support.ledger.com. La même règle vaut pour quiconque a déjà saisi ses 24 mots sur une page suspecte : le wallet est à considérer comme compromis.

La réponse produit arrivera plus tard. Le Ledger Atom, présenté à 849 euros, détectera l’ouverture de son boîtier, mais il ne sortira qu’à l’été 2027. D’ici là, la protection tient à une règle : les 24 mots ne quittent jamais l’appareil.

Sources

  • Journal du Coin : « Ledger : Une attaque phishing exploite l’affaire des implants espions »
  • Journal du Coin : « Ledger piégés : un escroc perd 60 bitcoins »