Phishing crypto : ce faux mail Ledger reçu à la rédaction montre pourquoi rien n’est à l’abri

Voir la table des matières Ne plus voir la table des matières

• Que contient exactement le faux courriel Ledger reçu à la rédaction ?
  • Les détails qui trahissent l’expéditeur
• Pourquoi les détenteurs de portefeuilles matériels sont-ils autant ciblés ?
  • Une adresse postale vaut plus qu’un mot de passe
• Quelles formes prend le phishing en dehors des plateformes d’échange ?
• Les plateformes d’échange protègent-elles vraiment mieux ?
• Comment se protéger concrètement, et que vérifier avant de cliquer ?
• Comment une IA gratuite peut-elle aider à démasquer une tentative ?
  • Ce qu’on peut lui demander utilement
  • Ce qu’il ne faut jamais lui confier, ni lui déléguer
• Ce que révèle la banalité d’un message mal écrit

Le phishing, ou hameçonnage, consiste à se faire passer pour un tiers de confiance afin d’obtenir de la victime une information ou une action qu’elle n’aurait jamais accordée à un inconnu. Appliqué à la crypto, le procédé change de nature : il ne vise plus un numéro de carte bancaire mais une phrase de récupération ou une signature de transaction, deux choses qu’aucune banque ne peut rembourser et qu’aucun service client ne peut annuler.

La rédaction a reçu ce 6 septembre 2026 un courriel usurpant l’identité de Ledger, le fabricant français de portefeuilles matériels. Le message annonce un appareil obsolète, agite la menace d’une perte d’accès aux fonds et propose un bouton unique pour tout régler. Ce n’est ni original ni sophistiqué, et c’est précisément ce qui le rend instructif : la même mécanique circule depuis six ans et continue de fonctionner.

L’affaire dépasse largement le cas Ledger. Chainalysis estime à 17 milliards de dollars les sommes dérobées par arnaque et fraude crypto en 2025, avec une croissance de plus de 1 400 % des escroqueries par usurpation d’identité. Entre les plateformes d’échange, les portefeuilles logiciels, les extensions de navigateur et les messageries, où se situent réellement les points d’entrée, et comment reconnaître une tentative avant de cliquer ?

Que contient exactement le faux courriel Ledger reçu à la rédaction ?

Le message se présente comme une alerte de sécurité de Ledger annonçant que Ledger Live et l’appareil sont périmés, et exige une mise à jour immédiate sous peine de perdre l’accès aux actifs. Un unique bouton noir, intitulé Update Ledger, concentre toute l’action : aucun nom de destinataire, aucun numéro de commande, aucune signature humaine.

Le scénario derrière le bouton est connu des équipes de sécurité depuis 2020. La page d’atterrissage reproduit l’interface de Ledger Live, réclame la connexion de l’appareil, puis affiche un formulaire demandant les vingt-quatre mots de la phrase de récupération sous prétexte de vérifier ou de restaurer le portefeuille. Cette phrase donne un contrôle total et définitif sur les fonds : quiconque la détient peut vider les comptes en quelques minutes, depuis n’importe quel appareil dans le monde.

Les détails qui trahissent l’expéditeur

Un faux message se repère rarement à un seul indice, mais à l’accumulation de petites incohérences. Celui-ci en aligne six, toutes visibles sans quitter sa boîte de réception ni cliquer sur quoi que ce soit.

• un anglais approximatif, avec des tournures comme Please you are required to update ou un accord fautif entre Ledger Live and device et le verbe qui suit ;
• l’absence totale de personnalisation, le message commençant par un simple Hi suivi d’une virgule, alors qu’un vrai expéditeur connaît au moins votre prénom ;
• une urgence artificielle adossée à une menace de perte d’accès, ressort classique destiné à court-circuiter la vérification ;
• un pied de page indiquant powered by Toast, éditeur de logiciels de caisse pour la restauration, qui n’a aucune raison de router les alertes de sécurité d’un fabricant de portefeuilles ;
• une adresse postale située au 7832 E. Pacific Coast Hwy, Newport Beach, en Californie, sans rapport avec l’implantation réelle de l’entreprise ;
• une mention de désinscription expliquant que vous recevez ce message parce que vous vous êtes inscrit à des communications marketing, incohérente avec une alerte de sécurité.

Aucun de ces signaux ne demande de compétence technique. Ils demandent une seconde de recul, et c’est exactement cette seconde que l’urgence fabriquée cherche à supprimer. Un message qui vous presse est un message qu’il faut lire deux fois plus lentement.

Pourquoi les détenteurs de portefeuilles matériels sont-ils autant ciblés ?

Parce que la liste de leurs noms et de leurs adresses circule depuis 2020. Une base de données commerciale de Ledger avait alors fuité, exposant environ un million d’adresses électroniques et 272 000 fiches détaillées comportant nom, adresse postale et numéro de téléphone. Ces fichiers n’ont jamais disparu.

L’histoire s’est répétée le 5 janvier 2026, cette fois par le prestataire de commerce transfrontalier Global-e, à la suite d’un accès non autorisé à ses systèmes. Ledger a précisé à CoinDesk que ses propres infrastructures n’étaient pas en cause et que les données concernées se limitaient aux informations de commande, sans aucun secret lié aux actifs numériques. La distinction est capitale, et elle n’empêche rien : pour un escroc, une liste de clients identifiés comme détenteurs de crypto vaut bien plus qu’un mot de passe volé.

Il ne s’agit pas d’une compromission de la plateforme, du matériel ou des systèmes logiciels de Ledger, qui restent sécurisés. Pour lever toute ambiguïté, le produit Ledger étant auto-conservé, Global-e n’a accès ni à vos vingt-quatre mots, ni à votre solde on-chain, ni à aucun secret lié aux actifs numériques.

Ledger, réponse écrite adressée à CoinDesk le 5 janvier 2026 au sujet de l’incident Global-e

Une adresse postale vaut plus qu’un mot de passe

Un mot de passe se change en trente secondes. Une adresse postale, un nom et un modèle d’appareil acheté ne se changent pas, et permettent de construire un message crédible des années après la fuite. C’est ce qui explique la longévité des campagnes visant les acheteurs de matériel : le fichier reste exploitable indéfiniment, et chaque nouvelle fuite enrichit le précédent.

Le phénomène ne concerne pas un seul fabricant. En août 2026, ce sont 13 689 adresses de clients Trezor qui se sont retrouvées dans la nature, selon le même schéma d’un prestataire tiers compromis. Décembre 2023 avait par ailleurs vu une bibliothèque logicielle de Ledger détournée pour siphonner près de 500 000 dollars sur des applications décentralisées, preuve que la chaîne d’approvisionnement logicielle constitue un second front.

Quelles formes prend le phishing en dehors des plateformes d’échange ?

Sortir des plateformes ne met à l’abri de rien, cela déplace simplement la cible. Dès lors que vous détenez vos propres clés, l’attaquant cesse de viser un identifiant de connexion pour viser votre phrase de récupération ou votre signature. Les vecteurs les plus fréquemment observés se répartissent ainsi.

• le faux site de restauration, qui reproduit l’interface d’un portefeuille connu et réclame les douze ou vingt-quatre mots, souvent atteint par un lien de courriel ou une publicité en tête de résultats de recherche ;
• le drainer, contrat malveillant qui obtient par une seule signature l’autorisation de déplacer vos jetons, sans jamais avoir besoin de votre phrase de récupération ;
• l’empoisonnement d’adresse, qui envoie une transaction de valeur nulle depuis une adresse dont les premiers et derniers caractères imitent l’une des vôtres, dans l’espoir que vous la copiiez depuis l’historique ;
• le faux support technique, sur Discord, Telegram ou X, où un compte imitant l’équipe d’un projet contacte en message privé les personnes ayant publié une question ;
• l’extension de navigateur contrefaite, publiée sur les magasins officiels sous un nom proche de l’originale, qui capture la phrase de récupération à la première saisie ;
• le faux airdrop, qui promet une distribution gratuite à condition de connecter son portefeuille et de signer une approbation illimitée ;
• l’appel ou le message vocal généré par synthèse, désormais assez convaincant pour imiter un conseiller ou un proche.

Le point commun de ces sept scénarios tient en une phrase : aucun n’exige de casser la cryptographie. Tous exploitent une décision humaine prise trop vite, et c’est pourquoi un portefeuille matériel ne protège pas d’un utilisateur pressé. L’appareil refuse une transaction non signée, il ne refuse pas une transaction que vous validez vous-même.

La mécanique du drainer mérite une attention particulière, tant elle contredit l’intuition. Le mécanisme complet, depuis la signature initiale jusqu’au transfert, est détaillé dans notre enquête sur ces signatures uniques qui vident un portefeuille.

Les plateformes d’échange protègent-elles vraiment mieux ?

Elles déplacent le risque plutôt qu’elles ne le suppriment, sans jamais le faire disparaître. Une plateforme peut geler un retrait, tracer une transaction et parfois indemniser ; en contrepartie, elle concentre des données personnelles vérifiées qui alimentent des campagnes ciblées. Le dossier instruit à Brooklyn en décembre 2025 l’illustre crûment.

Un habitant de Brooklyn de 23 ans y a été inculpé pour une fraude de près de 16 millions de dollars, menée en se faisant passer pour le service client de Coinbase auprès de clients dont les données avaient été obtenues par corruption. Un ancien agent du support, arrêté en Inde, aurait accepté 250 000 dollars de pots-de-vin, et la fuite interne a compromis les données de près de 70 000 clients. L’appel venait d’une personne qui connaissait le solde du compte, ce qui rendait l’histoire imparable.

Le tableau ci-dessous résume ce qu’une tentative réussie permet réellement à l’attaquant, selon le mode de détention retenu.

Mode de détention	Ce qu’un phishing réussi permet	Recours possible
Compte sur plateforme d’échange	vider le compte après prise de contrôle des accès	gel, traçage, parfois indemnisation
Portefeuille logiciel sur ordinateur	vider l’adresse via la phrase de récupération ou une signature	aucun, la transaction est définitive
Portefeuille matériel	vider l’adresse si la phrase est saisie sur un faux site	aucun, la transaction est définitive
Portefeuille matériel avec vérification à l’écran	rien, tant que le destinataire affiché est contrôlé	sans objet, la transaction est refusée

La quatrième ligne dit l’essentiel. L’écran de l’appareil affiche le montant et l’adresse de destination réels, indépendamment de ce que montre l’ordinateur : c’est le seul affichage digne de confiance dans toute la chaîne, et le seul que l’attaquant ne contrôle pas. Le lire prend trois secondes.

Comment se protéger concrètement, et que vérifier avant de cliquer ?

Les recommandations de Cybermalveillance.gouv.fr s’appliquent telles quelles à la crypto, avec deux ajouts propres au secteur. Voici la séquence à dérouler face à un message inattendu, dans cet ordre.

1. ne cliquez sur rien et survolez le lien avec la souris pour afficher l’adresse réelle vers laquelle il pointe ;
2. ouvrez le service concerné par un signet que vous avez créé vous-même, jamais par le lien du message ni par un résultat de moteur de recherche ;
3. vérifiez l’adresse affichée dans la barre du navigateur caractère par caractère, un seul signe modifié suffisant à changer de site ;
4. rappelez-vous qu’aucun fabricant, aucune plateforme et aucun support ne demandera jamais votre phrase de récupération, sous aucun prétexte ;
5. vérifiez sur l’écran de votre appareil le montant et l’adresse de destination avant toute signature, sans vous fier à l’affichage de l’ordinateur ;
6. révoquez périodiquement les autorisations de dépense accordées à des contrats que vous n’utilisez plus ;
7. signalez le message à Signal Spam, le SMS au 33700 et l’adresse du faux site à Phishing Initiative, puis conservez les preuves.

La règle de la phrase de récupération mérite d’être répétée sans nuance, parce qu’elle règle à elle seule la majorité des cas. Ces mots ne se saisissent que sur l’appareil lui-même, jamais sur un écran d’ordinateur ou de téléphone, jamais dans un formulaire, jamais en réponse à quiconque. Toute demande contraire est une tentative de vol, y compris quand elle émane d’un interlocuteur qui connaît votre nom et vos achats.

En cas de doute persistant, l’assistance publique 17Cyber et la plateforme Info Escroqueries du ministère de l’Intérieur, joignable au 0 805 805 817, répondent gratuitement. Rappelons que l’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende par l’article 313-1 du Code pénal, et que le dépôt de plainte reste utile même quand les fonds semblent perdus.

Comment une IA gratuite peut-elle aider à démasquer une tentative ?

Les modèles conversationnels grand public, y compris dans leurs versions sans abonnement, excellent sur exactement le type de tâche qu’un message frauduleux impose : lire vite, repérer des incohérences et expliquer un jargon. Utilisée en second avis, une IA gratuite fait gagner du temps sans rien coûter.

Ce qu’on peut lui demander utilement

Les usages qui fonctionnent partagent une caractéristique : ils portent sur du texte que vous lui fournissez, pas sur une vérification en temps réel qu’elle ne peut pas faire.

• coller le corps du message et l’en-tête technique complet, puis demander de relever les incohérences entre le domaine expéditeur affiché et le domaine réel d’envoi ;
• faire traduire et expliquer en français ce qu’une demande de signature autorise réellement, à partir du texte affiché par le portefeuille ;
• demander une comparaison caractère par caractère entre une adresse de site suspecte et le domaine officiel, pour débusquer une lettre substituée ;
• faire expliquer un terme rencontré dans une fenêtre de confirmation, comme approbation illimitée, autorisation de dépense ou signature aveugle ;
• faire reformuler en langage clair les conditions d’un prétendu airdrop, pour faire apparaître ce qu’il exige en échange.

Une IA constitue également un excellent entraîneur. Lui demander de générer cinq exemples de messages frauduleux visant votre fabricant de portefeuille, puis de vous expliquer ce qui les trahit, construit un réflexe de lecture bien plus durable qu’une liste de conseils mémorisée.

Ce qu’il ne faut jamais lui confier, ni lui déléguer

Deux limites doivent être posées d’emblée. La première est absolue : on ne colle jamais sa phrase de récupération dans une conversation, quel que soit l’outil, pas plus qu’une clé privée, un code PIN ou une capture les laissant apparaître. Ces données sortent alors de votre contrôle, et rien ne garantit ce qu’elles deviennent.

La seconde tient à la nature de l’outil. Un modèle conversationnel ne visite pas le lien à votre place et n’a aucun moyen de certifier qu’un site est sûr ; il produit une réponse plausible, y compris quand elle est fausse. Une IA qui déclare un domaine légitime ne prouve rien, alors qu’une IA qui repère une anomalie vous a rendu service. Elle sert à lever un doute, jamais à le dissiper, et la vérification finale reste manuelle.

Cette prudence vaut d’autant plus que l’IA a changé de camp la première. Chainalysis relève que les escroqueries reliées à des fournisseurs d’outils d’intelligence artificielle rapportent en moyenne 3,2 millions de dollars par opération, contre 719 000 dollars pour les autres, soit une rentabilité multipliée par 4,5. Les kits de phishing vendus clés en main se révèlent quant à eux 688 fois plus efficaces en valeur que les arnaques ordinaires.

Ce que révèle la banalité d’un message mal écrit

Le courriel reçu ce matin ne trompera pas un lecteur averti. Il n’a pas besoin de le faire : un envoi de masse coûte quelques dizaines d’euros et se rentabilise sur une seule victime. Le paiement moyen d’une arnaque crypto a atteint 2 764 dollars en 2025 selon Chainalysis, en hausse de 253 % sur un an, et les fautes d’orthographe fonctionnent comme un filtre qui écarte d’emblée les destinataires trop attentifs pour aller jusqu’au bout.

La leçon de fond concerne moins la crypto que la surface d’exposition de chacun. Ni le choix d’un portefeuille matériel, ni celui d’une plateforme régulée, ni la lecture assidue de guides ne suffisent, parce que le maillon visé n’est jamais l’infrastructure mais la personne qui l’utilise à sept heures du matin, entre deux tâches, sur son téléphone. Notre panorama des portefeuilles et de leur sécurisation complète utilement ce dossier sur le volet matériel.

Reste une question que l’incident Global-e pose sans la résoudre : la sécurité d’un détenteur de crypto dépend aujourd’hui, pour partie, de prestataires qu’il n’a jamais choisis et dont il ignore jusqu’au nom. Les prochains mois diront si le secteur accepte de traiter la chaîne de sous-traitance comme un élément de sécurité à part entière, ou s’il continue de considérer qu’une fuite de données de commande ne concerne que le marketing. En attendant cette clarification, le seul périmètre réellement maîtrisable reste celui des gestes quotidiens décrits plus haut, et la lenteur assumée face à un message qui exige une réaction immédiate.