Fausses mises à jour du micrologiciel Ledger : SlowMist signale des pages d’hameçonnage imitant le Genuine Check

Aucune mise à jour authentique du micrologiciel Ledger ne demande vos 24 mots. C’est pourtant ce que tente une campagne d’hameçonnage signalée le 16 octobre 2026 par la société de sécurité SlowMist sur son canal de renseignement sur les menaces, sur X. Les pages contrefaites reproduisent le déroulé d’une mise à jour officielle, jusqu’au véritable contrôle d’authenticité de Ledger, et à la fin vient l’invitation à saisir les mots de récupération. Celui qui le fait perd l’accès à tous les avoirs rattachés à ce portefeuille.

Le moment choisi n’est pas fortuit. Depuis le 9 octobre se poursuit l’examen d’un incident : des appareils Ledger trafiqués sont arrivés sur le marché par l’intermédiaire d’un revendeur agréé en Asie du Sud-Est. Cette affaire a donné à de nombreux propriétaires de portefeuille matériel, pour la première fois depuis des années, le sentiment de devoir vérifier leur appareil. Cette incertitude est la matière première dont les exploitants des pages contrefaites tirent leur audience.

Le procédé : une fausse mise à jour réclame les 24 mots

Les pages décrites par SlowMist ne sont pas des formulaires grossiers. Selon le signalement, elles conduisent par trois étapes : une page reproduisant le contrôle dit Genuine Check, le choix du modèle d’appareil, puis un bouton portant la mention « Update Now ». Ce n’est qu’ensuite que vient la demande décisive, la saisie des mots de récupération.

Cette construction est délibérée. Elle reflète l’ordre qu’un propriétaire attend d’une mise à jour réelle, et elle place la question critique tout à la fin, lorsque la confiance a déjà été établie par les étapes précédentes. SlowMist ne cite dans son signalement aucun nom de domaine des pages contrefaites et ne précise pas par quelle voie les propriétaires y aboutissent. Le déroulé est établi, pas le canal de diffusion.

Ce qu’est techniquement la phrase de récupération

La phrase de récupération, souvent appelée aussi seed phrase, est une suite de 24 mots créée lors de la configuration d’un appareil Ledger. Elle est la racine mathématique de toutes les paires de clés que cet appareil gère. Qui connaît ces mots peut restaurer les portefeuilles sur n’importe quel autre appareil et déplacer les avoirs sans jamais tenir l’appareil d’origine. Un code PIN n’en protège pas, car le PIN verrouille seulement l’appareil, non les mots.

D’où la seule règle qui compte sur ce sujet : les 24 mots s’affichent une fois lors de la configuration et ne sont plus jamais redemandés, par aucune page, aucune application et aucun agent du support. Toute demande est une attaque, quelle que soit la qualité d’apparence de la page.

Genuine Check : le contrôle d’authenticité reproduit sert d’appât

Le Genuine Check n’est pas un terme inventé par les attaquants, mais une étape réelle chez Ledger. L’appareil y prouve aux serveurs de Ledger qu’il abrite un élément sécurisé non modifié. Les propriétaires connaissent cette étape, car elle se déroule en arrière-plan lors de la configuration et des mises à jour.

C’est précisément cette notoriété qui rend la reproduction efficace. Une page qui reprend un terme du déroulé authentique paraît, au premier regard, plus crédible qu’une interface inventée. Habitué à voir un contrôle d’authenticité en premier, on le lit comme une confirmation et non comme un élément de la tromperie. S’y ajoute que beaucoup de propriétaires cherchent de toute façon, après les signalements de ces derniers jours, un moyen de vérifier l’authenticité de leur appareil.

CryptoBilis : l’implant matériel dont la campagne se sert d’appât

L’incident sur lequel s’appuie la vague d’hameçonnage a commencé par des signalements de pertes d’argent chez les clients d’un revendeur. Dans sa prise de position, Ledger désigne CryptoBilis, revendeur agréé pour l’Indonésie, la Malaisie et les Philippines, comme le canal par lequel des appareils trafiqués ont été mis en vente. Ledger a demandé au revendeur de suspendre vente et expédition, et a ouvert une enquête. Ledger ne dit pas si le revendeur avait connaissance des manipulations ; aucune instance n’a formulé un tel constat à ce jour.

Selon l’exposé de Ledger, un groupe criminel a acheté pendant des mois des appareils authentiques, les a ouverts et y a inséré des composants dissimulés, conçus spécialement. Ces composants étaient destinés à capter la phrase de récupération pendant la configuration. Les appareils repartaient ensuite à la vente. Le laboratoire de sécurité de Ledger, Donjon, a démonté un tel implant et établi son fonctionnement.

La prise de position de Ledger du 15 octobre : une « localized distribution attack »

Ledger a présenté sa lecture de l’incident le 15 octobre 2026 dans une publication propre. La phrase centrale est la suivante : « This was not a systemic supply chain attack, it was a localized distribution attack. » Autrement dit : l’entreprise ne voit pas une attaque contre l’ensemble de la chaîne d’approvisionnement, mais une intervention dans le circuit de distribution, après que les appareils avaient quitté sa sphère de contrôle. Ledger écrit encore : « There was no flaw in Ledger’s chip, operating system or servers », soit : aucune faille dans la puce, le système d’exploitation ou les serveurs, et : « Ledger’s systems were not compromised. »

Pour les propriétaires en Allemagne, la même prise de position comporte une indication qui les concerne directement. Ledger a envoyé ses propres équipes sur des marchés locaux, expressément en Allemagne aussi, y a acheté des appareils en magasin et les a ouverts, et a examiné des échantillons issus des stocks. L’entreprise résume le résultat par la phrase « Every unit examined was clean », soit : chaque unité examinée était saine. Ledger a en outre demandé aux revendeurs et distributeurs agréés de suspendre les ventes en Asie du Sud-Est et à Hong Kong.

Ces indications proviennent du fabricant lui-même et ne constituent pas une vérification par une instance indépendante. Elles n’en sont pas moins la description publique la plus précise dont on dispose, et elles circonscrivent géographiquement la zone concernée.

De 86 à 93,2 millions de dollars : la fourchette des estimations

Deux chiffres circulent sur l’ampleur des pertes, et ils diffèrent. La société d’analyse Bitquery est parvenue, dans une évaluation du 11 octobre 2026, à environ 93,2 millions de dollars, sortis de 315 portefeuilles sur six blockchains différentes. À côté figure un décompte plus bas, d’environ 86 millions de dollars, établi par des analystes on-chain à partir des adresses de collecte des attaquants, et dont nous avons rendu compte le 10 octobre.

Les deux valeurs sont des estimations issues de l’analyse de la blockchain, non des comptes confirmés. Ledger n’a pas confirmé le chiffre de Bitquery. La fourchette subsiste donc, et elle peut se déplacer vers le haut si d’autres adresses sont rattachées.

Pourquoi les montants de pertes augmentent dans ce type d’incident

Avec un implant qui capte les mots pendant la configuration, un long délai sépare souvent le vol des données du retrait des avoirs. Les attaquants peuvent attendre qu’une adresse présente un montant qui en vaille la peine. Une évaluation arrêtée à une date ne saisit donc que les portefeuilles vidés jusque-là, et non tous les appareils compromis.

La vraie voie de mise à jour passe par l’application Ledger, pas par un lien

Une mise à jour du micrologiciel d’un appareil Ledger passe par l’application compagnon du fabricant, sur ordinateur ou sur téléphone, longtemps appelée Ledger Live. L’application reconnaît l’appareil connecté, télécharge la mise à jour et exige une confirmation à chaque étape sur l’écran de l’appareil lui-même. Cet écran est le point où vous vérifiez ce qui se passe réellement, car il est produit par l’appareil et non par une page web.

SlowMist formule dans son signalement deux recommandations qui visent exactement cela : ne jamais mettre à jour un appareil Ledger via des liens sur des pages web, et ne saisir la phrase de récupération nulle part. Ces deux phrases paraissent banales et touchent pourtant l’essentiel, car les pages contrefaites tirent tout leur effet de la confusion entre le navigateur et l’appareil.

Cinq signes distinctifs des fausses pages de mise à jour

• La page demande la saisie des 24 mots dans un champ de formulaire. Ce seul point tranche déjà tout.
• Le déroulé démarre dans le navigateur au lieu de l’application installée du fabricant.
• Une pression temporelle est installée, par exemple en affirmant que l’appareil est vulnérable sans la mise à jour.
• L’entrée s’est faite par un lien dans un message, une annonce ou un résultat de recherche.
• La page n’exige aucune confirmation sur l’écran de l’appareil, tout en prétendant procéder à une mise à jour.

La page contrefaite dont nous avons rendu compte le 11 octobre remontait dans la recherche Google ; elle montre que la voie d’entrée change. La demande des mots, elle, reste constante, et c’est à cela que se reconnaît chaque variante. Davantage sur ces schémas dans notre analyse de la fausse page Ledger dans la recherche Google.

Autoconservation ou conservation réglementée : l’arbitrage pour les investisseurs en Allemagne

L’incident déplace une question que beaucoup tenaient pour tranchée. Un portefeuille matériel vous ôte le risque de contrepartie d’une plateforme et vous impose en échange deux autres risques : la sécurité de votre circuit d’achat et celle de vos 24 mots. L’affaire de l’implant montre que le circuit d’achat n’est pas un risque théorique, et la vague d’hameçonnage en cours montre la même chose pour les mots.

Il n’en ressort aucun argument contre l’autoconservation, mais un argument pour une répartition réfléchie. Si vous conservez vous-même des montants importants, achetez les appareils directement chez le fabricant ou chez des revendeurs agréés et configurez-les de sorte que les mots ne quittent jamais l’appareil sous forme numérique. Confiez la conservation à un tiers, et vous arrivez chez des prestataires qui ont besoin d’un agrément pour l’activité de conservation dans l’Union, en échangeant un risque contre un autre. Ce qui distingue les appareils figure dans notre comparatif des portefeuilles matériels.

Des distributeurs en Allemagne ont partiellement arrêté la vente

L’incident a aussi atteint la distribution allemande. MediaMarkt et Saturn ont suspendu la vente des appareils Ledger, ce dont nous avons rendu compte le 14 octobre. Ledger, de son côté, a présenté le 15 octobre un nouvel appareil nommé Atom qui, selon le fabricant, empêcherait les implants de ce type grâce à un autre circuit de configuration.

Pour la décision qui se pose aujourd’hui, c’est une note de bas de page. L’essentiel reste la provenance de l’appareil et le fait que les mots soient ou non parvenus un jour dans un champ de saisie. Nous avons consigné l’état de l’enquête dans notre article sur la confirmation de l’implant par Ledger.

Trezor, SafePal et BitBox : la même logique touche aussi d’autres fabricants

La demande des mots de récupération n’est pas un problème propre à Ledger, mais l’objectif commun de toutes les attaques contre les portefeuilles matériels. Ces dernières semaines ont fourni des occasions comparables chez d’autres prestataires, dont une fuite de données chez un prestataire logistique de Trezor et une fuite de données chez SafePal, dont nous avons rendu compte les 13 septembre et 11 octobre. Dans les deux cas, la porte d’entrée n’était pas l’appareil, mais la liste des adresses de clients, utilisable ensuite pour un démarchage ciblé.

Le mécanisme se répète : un incident public crée de l’incertitude, et en quelques jours apparaissent des pages et des messages qui traduisent cette incertitude en un geste. Qui connaît une fois ce schéma n’a plus besoin des détails de chaque campagne, car la dernière question est toujours la même.

Ce qui reste possible lorsque la phrase a déjà été saisie

Si les 24 mots ont été tapés sur une page étrangère, le portefeuille est considéré comme ouvert. La vitesse compte alors : configurer un nouvel appareil avec une phrase nouvellement générée et déplacer les avoirs vers les nouvelles adresses avant que les attaquants ne le fassent. L’ancienne phrase ne sera plus jamais utilisée, pas même pour un seul actif, car elle couvre toutes les adresses qui en découlent. Une restauration sur le même appareil ne résout rien, puisque le problème est la phrase et non le matériel.

L’essentiel du signalement de SlowMist

SlowMist a signalé le 16 octobre 2026 une campagne d’hameçonnage qui reproduit une mise à jour du micrologiciel Ledger en imitant le véritable Genuine Check de Ledger, pour réclamer à la fin les 24 mots de récupération. La campagne se sert de l’affaire de l’implant chez le revendeur CryptoBilis comme appât. Ledger a qualifié l’incident, le 15 octobre, de « localized distribution attack », a écarté toute faille dans la puce, le système d’exploitation et les serveurs, et a indiqué que les appareils achetés et ouverts en Allemagne aussi étaient sains. Les estimations des pertes vont d’environ 86 à 93,2 millions de dollars. La parade est la même dans les deux cas : des mises à jour uniquement depuis l’application du fabricant, et les mots dans aucun champ de saisie.

Hameçonnage Ledger : aucune mise à jour authentique ne demande vos 24 mots

1. Mettez à jour uniquement depuis l’application installée du fabricant. Branchez l’appareil, lancez l’application compagnon et confirmez chaque étape sur l’écran de l’appareil. Si un avis de mise à jour arrive par courriel, annonce ou résultat de recherche, ignorez le lien et ouvrez l’application vous-même. Quels appareils suivent quel circuit de configuration figure dans le comparatif des portefeuilles matériels.
2. Vérifiez la provenance de votre appareil. Un appareil venu du fabricant ou de revendeurs agréés est le cas normal ; les offres de seconde main et de vendeurs inconnus ne le sont pas. Avec un appareil d’occasion, configurez-le avec une phrase nouvellement générée. Pour le volet logiciel de la conservation, le comparatif des portefeuilles logiciels aide.
3. Décidez quelle part de vos avoirs se trouve où. Fixez le montant que vous conservez vous-même et celui qui reste chez un prestataire agréé, et consignez la décision par écrit. Un panorama des lieux de négociation agréés dans l’Union figure sous plateformes crypto réglementées.

Sources : la prise de position de Ledger du 15 octobre 2026 et le compte rendu du signalement de SlowMist du 16 octobre 2026.

(Au 16 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)