Portefeuille Ledger piraté ? Comment cela arrive et que faire

Des fonds ont disparu, ou vous avez entendu parler d’un « piratage Ledger » sans savoir ce que cela signifie pour vous. Les deux partent du même point. La distinction entre les incidents documentés, la manière dont les portefeuilles matériels sont réellement compromis et vos options actuelles détermine ce que vous devez faire ensuite.

Un portefeuille matériel Ledger peut-il être piraté ?

Pas à distance, et pas comme la plupart des gens l’imaginent. Un appareil Ledger stocke les clés privées dans une puce Secure Element : un composant résistant aux manipulations, certifié EAL5+, qui n’expose pas les données de clés même sous attaque physique directe. Il n’existe aucun cas documenté de quelqu’un extrayant à distance des clés privées d’un appareil Ledger et vidant des fonds directement via le matériel. Quand on dit qu’un Ledger a été « piraté », on décrit presque toujours autre chose : une page de phishing, une phrase de récupération exposée ou une demande d’approbation malveillante. Cette distinction compte, car elle indique où se trouvait la véritable faiblesse.

Ce que les propres incidents de sécurité de Ledger impliquaient réellement

En juillet 2020, la base de données e-commerce et marketing de Ledger a été compromise par un attaquant exploitant une clé API. Environ 272 000 clients ont vu leurs noms, adresses e-mail, numéros de téléphone et, dans certains cas, adresses postales exposés. Aucune clé privée, aucune phrase de récupération, aucune donnée de portefeuille, aucun fonds n’a été exposé. La brèche concernait les serveurs de l’entreprise, pas les appareils eux-mêmes.

Ce qui a suivi a été une campagne de phishing soutenue et bien financée utilisant ces données divulguées. Des e-mails ciblés avec de vrais noms de clients, de faux sites Ledger convaincants et de faux contacts de support étaient tous conçus pour soutirer les phrases de récupération d’utilisateurs de Ledger qui croyaient le contact légitime. La plupart des cas décrits comme « mon Ledger a été piraté » remontent à cette campagne, pas à une compromission du matériel lui-même.

En décembre 2023, le Connect Kit de Ledger – une bibliothèque JavaScript que de nombreuses applications DeFi utilisent pour se connecter aux portefeuilles matériels – a été compromis via une attaque de la chaîne d’approvisionnement sur les identifiants d’un ancien employé. L’attaquant a injecté un code malveillant qui incitait les utilisateurs à approuver des transactions frauduleuses via leurs portefeuilles. C’était une attaque au niveau logiciel touchant l’interface du navigateur, pas le modèle de sécurité de l’appareil Ledger. Les utilisateurs qui ont approuvé les demandes ont perdu des fonds ; les autres n’ont pas été affectés.

Comment les portefeuilles Ledger sont réellement compromis

Phishing et fausses applications

Le phishing est de loin la cause la plus courante. De faux e-mails, de fausses pages de téléchargement de Ledger Live et de faux comptes de support sur Reddit et Telegram demandent tous votre phrase de récupération de 24 mots sous couvert de mise à jour du firmware, de vérification de compte ou d’alerte de sécurité. Dès que quelqu’un a ces 24 mots, il a le portefeuille : il peut régénérer chaque clé privée et vider chaque compte, généralement en quelques minutes. Le fonctionnement de chaque type de phishing et l’apparence des signes avant-coureurs sont expliqués en détail ici.

Appareils contrefaits

Le matériel contrefait est un risque moins courant mais documenté. Des appareils falsifiés, identiques à l’extérieur à un vrai Ledger, peuvent arriver préchargés avec une phrase de récupération déjà connue de l’attaquant ; chaque cryptomonnaie envoyée à ce portefeuille lui est immédiatement accessible. Certains faux appareils demandent d’utiliser une phrase imprimée sur une carte dans la boîte plutôt que d’en générer une nouvelle. Un vrai Ledger génère toujours une nouvelle phrase aléatoire lors de la configuration initiale. N’achetez que sur ledger.com ou chez un revendeur agréé figurant sur la liste officielle, et exécutez le contrôle d’authenticité avant d’ajouter des fonds.

Exposition de la phrase de récupération

L’exposition de la phrase de récupération couvre tout ce qui a rendu vos 24 mots visibles par quelqu’un d’autre : une photo sur un téléphone compromis par la suite, des mots saisis dans un appareil connecté, une sauvegarde stockée dans un e-mail ou le cloud, ou une phrase saisie sur un faux site. La phrase n’a pas besoin d’être volée en temps réel ; elle peut être retrouvée et utilisée des mois ou des années plus tard. Comment stocker une phrase de récupération en toute sécurité à l’avenir est expliqué ici.

Approbations de transactions malveillantes

L’incident du Connect Kit de décembre 2023 a montré une quatrième voie : un attaquant qui ne peut pas toucher à vos clés peut quand même vous vider s’il vous amène à approuver une transaction frauduleuse. Des dApps malveillantes, de fausses demandes d’approbation et des bibliothèques de connexion de portefeuille compromises peuvent présenter des transactions d’apparence plausible qui vident un compte à la signature. L’appareil reste sûr ; l’approbation est la surface d’attaque. Vérifiez chaque signature sur l’écran de l’appareil lui-même, pas dans la fenêtre du navigateur, et ne signez jamais une transaction que vous ne reconnaissez pas entièrement.

Si des fonds ont disparu : que faire immédiatement

N’ajoutez pas plus de fonds au portefeuille compromis : tout ce que vous envoyez sera vidé aussi vite que le solde précédent, car les attaquants surveillent généralement les adresses automatiquement. Si d’autres portefeuilles partagent la même phrase de récupération, déplacez ces fonds vers un nouveau portefeuille avec une phrase entièrement nouvelle immédiatement, avant toute autre chose.

Documentez tout avant d’agir : hachages de transactions, horodatages, adresses de portefeuille et tous les e-mails, URL ou messages avec lesquels vous avez interagi avant la disparition des fonds. Les autorités enquêtent de plus en plus sur le vol de crypto, et cette documentation rend un dossier exploitable. Aux États-Unis, signalez à l’IC3 sur ic3.gov ; dans d’autres pays, l’unité locale de criminalité financière ou de cybercriminalité est le point de départ.

Les cryptos volées peuvent-elles être récupérées ?

Les transactions blockchain sont irréversibles, et c’est voulu. Une fois que des fonds quittent un portefeuille, ils sont sous le contrôle du destinataire, et aucun service ne peut les inverser. Ce que la criminalistique blockchain peut faire, c’est tracer où les fonds sont allés : les transactions sont publiques, et les autorités peuvent parfois geler des fonds détenus par un service coopérant. Tracer n’est pas récupérer, et quiconque garantit la récupération de fonds volés contre un paiement anticipé mène une arnaque à la récupération – une seconde arnaque par-dessus la première.

Crypto Recovers ne traite pas les cas de vol ou de fraude. Notre priorité est la récupération technique d’accès : les personnes qui possèdent encore leurs cryptos mais ne peuvent plus y accéder à cause d’un code PIN oublié, de mots manquants dans une phrase de récupération, d’une phrase invalide ou d’une sauvegarde endommagée. Si votre problème est une perte d’accès et non un vol, récupérez l’accès à votre portefeuille Ledger. Si vos fonds ont été volés par un tiers, la bonne démarche consiste à le signaler aux autorités et, pour des montants importants, à envisager un cabinet spécialisé en criminalistique blockchain.

FAQ : piratage de Ledger

Ledger a-t-il déjà été piraté ?

La base de données e-commerce de Ledger a été violée en 2020, exposant des coordonnées de clients, et une bibliothèque Ledger (Connect Kit) a été compromise en 2023. Aucun incident n’a exposé de clés privées ou de phrases de récupération des appareils Ledger eux-mêmes.

Un Ledger peut-il être piraté à distance ?

Aucun cas documenté ne montre quelqu’un extrayant à distance des clés privées d’un appareil Ledger. Les compromissions réelles passent par le phishing, l’exposition de phrases, les appareils contrefaits ou les approbations frauduleuses de transactions – pas par le matériel.

Mon Ledger a été « piraté » – que faire en premier ?

Déplacez immédiatement tous les fonds restants de chaque portefeuille utilisant cette phrase de récupération vers un nouveau portefeuille avec une nouvelle phrase. Documentez ensuite les hachages de transactions et les horodatages, et signalez le vol au canal d’application de la loi approprié. N’ajoutez plus de fonds au portefeuille compromis.

Une phrase de récupération peut-elle être volée depuis un appareil Ledger ?

Non. Le Secure Element n’expose pas la phrase, et aucun incident documenté ne l’a extraite du matériel. La phrase est en danger sur papier, dans les photos, dans le cloud et dans les formulaires de phishing – pas à l’intérieur de l’appareil.