Les escrocs envoient de faux courriers Ledger et Trezor pour voler les phrases de récupération

Les escrocs utilisent de fausses lettres postales et des codes QR pour tromper les utilisateurs de Trezor et Ledger afin de leur faire révéler leurs phrases de récupération de portefeuille.

Les attaques de phishing crypto ne se limitent plus aux emails et aux fausses publicités. Les criminels envoient désormais des lettres physiques aux utilisateurs de portefeuilles matériels. Le courrier semble officiel et incite à une action rapide, dans le but de piéger les personnes pour qu’elles divulguent leurs phrases de récupération et volent leurs fonds.

Utilisateurs de Trezor et Ledger avertis des lettres de phishing par code QR

Les acteurs malveillants envoient des lettres aux utilisateurs en se faisant passer pour Trezor et Ledger, deux grands fabricants de portefeuilles matériels. Ces lettres affirment que les utilisateurs doivent effectuer une « Vérification d’authentification » ou une « Vérification de transaction » obligatoire. Elles avertissent que ne pas le faire pourrait entraîner des problèmes d’accès au portefeuille. Chaque lettre comporte un code QR menant les destinataires vers des sites de phishing.

Les rapports montrent que ces lettres ont l’apparence d’un document officiel et utilisent les logos et la charte graphique des entreprises. Par ailleurs, les deux sociétés ont déjà subi des violations de données exposant les coordonnées de leurs clients. Les informations de mailing volées pourraient avoir permis d’étendre la campagne.

L’expert en cybersécurité Dmitry Smilyanets a partagé l’une de ces fausses lettres sur X. Dans ce cas, les escrocs se sont fait passer pour Trezor et ont dit aux utilisateurs de réaliser une vérification d’authentification avant le 15 février 2026. Le non-respect de cette demande aurait supposément entraîné une interruption de l’accès à Trezor Suite.

De plus, la lettre demandait aux utilisateurs de scanner un code QR avec leur téléphone et de suivre les instructions sur un site web. La pression était accentuée en indiquant qu’une action était requise, même si la fonctionnalité était déjà activée. L’objectif des escrocs était d’inciter les gens à agir rapidement sans réfléchir.

Une lettre similaire ciblait les utilisateurs de Ledger. Elle annonçait qu’une « Vérification de transaction » obligatoire allait bientôt arriver. La date limite était fixée au 15 octobre 2025, et le message avertissait que l’ignorer pourrait causer des problèmes lors des transactions.

Le scan des codes QR menait vers de faux sites web ressemblant aux pages officielles de Trezor ou Ledger. Le site lié à Ledger est ensuite devenu hors ligne, tandis que le faux site de Trezor est resté en ligne mais a été identifié comme phishing par Cloudflare.

La page frauduleuse de Trezor affichait une bannière d’avertissement, incitant les utilisateurs à compléter l’authentification avant le 15 février 2026. Une exception était prévue pour certains modèles Trezor Safe plus récents achetés après le 30 novembre 2025, indiquant que ces appareils étaient préconfigurés.

De plus, la dernière page demandait aux utilisateurs d’entrer leur phrase de récupération. Le formulaire acceptait 12, 20 ou 24 mots. Pour confirmer la propriété, le site exigeait une phrase pour activer l’authentification. En réalité, la saisie permettait aux escrocs d’avoir un accès complet au portefeuille.

La sécurité de la phrase de récupération sous le feu des projecteurs face à la montée des arnaques crypto hors ligne

Le phishing physique reste moins fréquent que les escroqueries par email. Cependant, des campagnes postales ont déjà été signalées auparavant. En 2021, des criminels ont envoyé des appareils Ledger modifiés conçus pour capturer les phrases de récupération lors de la configuration. Une autre vague de phishing postal ciblant les utilisateurs de Ledger a émergé en avril.

Les fournisseurs de portefeuilles matériels avertissent à plusieurs reprises leurs clients de ne jamais partager leur phrase de récupération. Aucune mise à jour ou vérification de sécurité légitime ne nécessite de saisir une phrase de récupération en ligne. Les entreprises ne demandent pas ces données par courrier, email ou téléphone.

Par ailleurs, la sophistication croissante des escroqueries indique que le risque pour les détenteurs de crypto-monnaies persiste. Les tactiques hors ligne peuvent paraître plus crédibles pour certains utilisateurs, car les lettres imprimées peuvent sembler officielles et urgentes.

Ainsi, il est conseillé aux utilisateurs de vérifier toute notification de sécurité directement sur les sites officiels. Taper manuellement les adresses web connues est plus sûr que de scanner des codes QR inconnus. Les lettres suspectes doivent être immédiatement signalées aux fournisseurs de portefeuilles et aux autorités de cybersécurité.