Deuxième lame. Une campagne de phishing exploite depuis ce matin l’affaire des wallets Ledger truffés d’implants pour pousser par e-mail les utilisateurs inquiets vers une fausse « mise à jour du firmware ». La page de destination imite le vrai contrôle d’authenticité de Ledger et propose de choisir son modèle. Vient ensuite un bouton « Update Now », puis une demande de phrase de récupération. L’alerte vient de SlowMist, la société de sécurité qui avait confirmé le schéma des premiers implants.
Vous n’avez rien à mettre à jour depuis un site web. Jamais. C’est la seule règle qui compte dans cette histoire, et le reste de l’article explique pourquoi.
- Une campagne de phishing a exploité l’affaire des Ledger piégés pour inciter les utilisateurs à une fausse mise à jour du firmware.
- Les escrocs ont imité le contrôle d’authenticité de Ledger pour obtenir la phrase de récupération des utilisateurs, ce qui pourrait compromettre leurs wallets.
Comment fonctionne la fausse mise à jour Ledger
Le scénario est bien construit. D’abord, vous avez lu que des Ledger vendus en Asie du Sud-Est contenaient une puce espion. Puis un e-mail signé « The Ledger Team » arrive dans votre boîte. Il annonce un correctif de firmware contre des « menaces spyware » repérées en Malaisie, et liste cinq appareils concernés, Nano S Plus, Nano X, Flex, Stax et Nano Gen5. Le bouton « Update Now » mène vers une page qui ressemble trait pour trait au « Genuine check » que Ledger effectue dans son application. Il faut choisir son modèle. Enfin, pour « restaurer » ou « synchroniser » l’appareil après la mise à jour, elle réclame vos 24 mots.
À ce stade, tout est perdu. La phrase de récupération est la clé de votre coffre. Celui qui la possède peut donc recréer votre wallet sur n’importe quel appareil. Il vide ensuite vos comptes en quelques secondes, sans jamais toucher votre Ledger. L’implant matériel découvert la semaine dernière faisait exactement la même chose. Il lisait les 24 mots à l’écran pendant la configuration. Le phishing obtient ainsi le même résultat sans puce ni tournevis, juste avec votre peur.
SlowMist résume la parade en deux phrases. Ne cliquez jamais sur un lien de site web pour mettre à jour. N’entrez jamais votre phrase de récupération où que ce soit. En revanche, les domaines utilisés par les escrocs n’ont pas été rendus publics à cette heure, donc inutile de chercher une liste à bloquer.
Les 5 règles Ledger qui rendent le phishing inoffensif
Ledger tient une page qui recense les campagnes de phishing en cours. Son discours de sécurité n’a pas bougé d’une ligne depuis l’affaire des implants, et l’entreprise l’a d’ailleurs répété toute la semaine. Il tient en cinq points.
- Une mise à jour de firmware se fait uniquement dans l’application Ledger Wallet (l’ancien Ledger Live). Chaque étape est confirmée sur l’écran de l’appareil. Ledger n’envoie aucun e-mail demandant de mettre à jour un firmware.
- Les 24 mots ne se saisissent que sur l’appareil lui-même, jamais sur un ordinateur, un téléphone ou une page web. Le support de Ledger ne les demande jamais.
- Ledger ne contacte personne par SMS, WhatsApp, Telegram, appel téléphonique ou courrier postal. Les seuls domaines légitimes sont ledger.com, ledger.fr, ledgerwallet.com et ledger.zendesk.com. Méfiez-vous donc des « legder », « leqder » et autres accents exotiques.
- Ne validez jamais sur votre appareil une transaction dont vous n’êtes pas l’auteur, même si une page affiche une « erreur » à corriger.
- Un appareil Ledger ne peut pas être désactivé à distance. Toute menace de blocage « faute de vérification » est une arnaque.
Ces règles sont détaillées sur la page officielle des campagnes de phishing. Elle liste aussi les lettres avec QR code, les faux appels de CoinCover et les NFT frauduleux. Mais la campagne du jour n’y figure pas encore.
Les conseils de Ledger au-delà des cinq règles
Derrière cette liste, le message officiel de Ledger se résume à une phrase martelée à chaque crise : la phrase de récupération ne se saisit que sur l’appareil, et personne chez Ledger ne la demandera jamais, ni par e-mail, ni par chat, ni au téléphone. L’entreprise y ajoute quelques gestes concrets. Téléchargez Ledger Wallet uniquement depuis shop.ledger.com. Ensuite, n’envoyez jamais de cryptos vers une adresse que vous ne connaissez pas, même pour « sécuriser » vos fonds. Ignorez aussi les messages privés sur les réseaux sociaux, car Ledger ne communique que par e-mail et via ses comptes officiels. Enfin, un e-mail du support reçu sans l’avoir sollicité se signale comme spam, et les faux comptes se signalent à @ledgerprotect sur X.
Ce qu’il faut faire si vous avez un doute sur votre Ledger
Si vous avez acheté un appareil chez CryptoBilis ou un autre revendeur d’Asie du Sud-Est ces derniers mois, Ledger demande de ne pas le configurer s’il est encore sous blister. S’il est déjà en service, le conseil officiel est de créer un nouveau wallet sur un appareil sain, avec une phrase de récupération fraîchement générée, puis d’y transférer vos fonds. Contactez ensuite son support par le chat de support.ledger.com, et uniquement par là.
Si votre appareil vient d’un canal officiel en Europe, les contrôles menés en magasin et en entrepôt n’ont trouvé aucune unité modifiée. Pascal Gauthier, le patron de Ledger, a tout de même promis sur X une revue des contrôles appliqués aux ventes directes et aux revendeurs, et son directeur technique Charles Guillemet une révision des protections anti-sabotage. Dans les deux cas, personne n’a besoin de vos 24 mots pour vous aider. Et aucune mise à jour ne corrige un implant physique.
Si vous avez déjà saisi votre phrase sur une page suspecte, considérez le wallet comme compromis. Créez alors un nouveau wallet avec une nouvelle phrase sur un appareil sain. Transférez ensuite vos fonds vers ce wallet avant que les voleurs ne le fassent. Le délai se compte en minutes, pas en heures.
Le phishing est arrivé avant la réponse produit. Le Ledger Atom présenté jeudi détectera l’ouverture de son boîtier, mais il ne sortira qu’à l’été 2027. D’ici là, les campagnes par SMS précédentes et celle d’aujourd’hui reposent sur le même ressort. Une seule chose protège vos cryptos : que vos 24 mots ne quittent jamais l’appareil.
L’article Ledger : Une attaque phishing exploite l’affaire des implants espions est apparu en premier sur Journal du Coin.
