Hameçonnage de portefeuille crypto par courrier : pourquoi le code QR de votre boîte aux lettres veut votre phrase de récupération

Si une lettre se trouve dans votre boîte aux lettres et vous enjoint d'effectuer une mise à jour de sécurité urgente pour votre portefeuille crypto, en fournissant pour cela un code QR, il s'agit d'hameçonnage. Aucun fabricant et aucune plateforme n'annonce une mise à jour de portefeuille par courrier postal, et il n'existe aucune démarche légitime au cours de laquelle vous saisissez votre phrase de récupération sur un site web. L'Office fédéral de la cybersécurité OFCS a signalé le 18 août 2026, dans sa rétrospective hebdomadaire de la semaine 33, avoir reçu divers signalements portant précisément sur de telles lettres.

Ce qui est nouveau dans cette vague, c'est la voie d'acheminement et non le procédé. L'hameçonnage arrive d'ordinaire par courriel ou par SMS, parce que ces deux canaux ne coûtent rien. Une lettre coûte l'impression, la mise sous pli et l'affranchissement, et celui qui consent cet effort table sur un taux de réussite qui le justifie. C'est précisément pour cette raison que la voie postale n'est devenue intéressante pour les attaquants qu'à partir du moment où ils ont disposé de fichiers d'adresses dont ils savaient qu'ils correspondaient à des détenteurs de cryptomonnaies.

Hameçonnage de portefeuille crypto par courrier : ce que l'OFCS a signalé le 18 août

Le déroulement décrit par l'autorité est bref. Une lettre invite à télécharger une mise à jour urgente pour divers portefeuilles crypto. Un code QR est joint à cet effet. Qui le scanne aboutit sur un site d'hameçonnage sur lequel la phrase de récupération doit être saisie. Qui l'y saisit cède, selon la présentation de l'OFCS, le contrôle intégral du portefeuille crypto concerné.

L'OFCS ne cite ni un nombre de signalements ni un prestataire particulier au nom duquel les lettres ont été envoyées. Il parle de divers signalements et de divers portefeuilles crypto. Si vous lisez un chiffre plus précis dans un article, vérifiez d'où il provient : il ne figure pas dans le communiqué de l'autorité.

L'origine de l'avertissement importe pour bien le situer. L'OFCS est l'autorité fédérale suisse chargée de la cybersécurité et signale ce qui lui est signalé depuis la Suisse. Pour vous, investisseur en Allemagne, cela reste néanmoins pertinent, et pour une raison de fond : les marques de portefeuilles sont les mêmes, les fichiers d'adresses proviennent des mêmes fuites de données, et une lettre ne connaît pas de frontière nationale si le fichier d'adresses n'en connaît pas. Aucun communiqué officiel allemand de teneur identique n'existe à ce jour. Cela ne signifie pas que personne n'est touché ici, mais seulement qu'aucun chiffre allemand documenté n'existe à ce sujet.

Un bref antécédent s'impose. Dès le 31 juillet 2026, la même autorité avait publié un communiqué consacré aux lettres comportant un code QR. La rétrospective hebdomadaire du 18 août ne constitue donc pas un premier constat, mais la confirmation que la vague se poursuivait trois semaines plus tard.

Pourquoi la « résistance quantique » fonctionne comme prétexte en ce moment

La lettre justifie la prétendue mise à jour par l'introduction de ce qu'elle appelle la résistance quantique. Il s'agit d'un chiffrement qui tient encore lorsqu'un ordinateur quantique suffisamment puissant parvient à casser les procédés courants aujourd'hui. Ce n'est pas un terme inventé. Le débat sur ce que les ordinateurs quantiques signifient pour le Bitcoin et les autres cryptomonnaies dure depuis des années et est mené par des développeurs sérieux.

Et c'est là que réside l'efficacité du procédé. Un prétexte fonctionne d'autant mieux qu'il est à moitié vrai. Qui a déjà entendu le terme trouve la lettre plausible. Qui ne le connaît pas la juge assez technique pour ne pas poser de question. Les deux groupes aboutissent au même résultat, à savoir qu'il se passe ici quelque chose d'important qu'il vaut mieux ne pas ignorer.

La différence entre le véritable débat et la lettre est banale et pourtant décisive : un passage à des procédés résistants au quantique constituerait une modification du protocole et du logiciel embarqué. Une telle transition ne commencerait jamais par la saisie, par les utilisateurs, de leur phrase de récupération quelque part. Une phrase saisie une seule fois dans un formulaire web est perdue, indépendamment de tout chiffrement.

La phrase de récupération expliquée : pourquoi ces douze ou vingt-quatre mots sont tout

La phrase de récupération, également appelée seed phrase, est une suite de douze ou vingt-quatre mots le plus souvent, à partir de laquelle se calculent l'ensemble des clés privées d'un portefeuille. Cette suite de mots n'est pas un complément d'identifiants ni un second facteur, c'est le fondement mathématique complet de vos avoirs.

Deux conséquences en découlent, souvent confondues au quotidien. Premièrement : qui détient la phrase détient les avoirs, sans votre appareil, sans votre code PIN et sans que vous vous aperceviez de quoi que ce soit. Deuxièmement : vous ne remarquerez pas non plus le vol tout de suite après, car le portefeuille sur votre appareil continue de paraître normal. Un attaquant qui a recopié la phrase peut attendre des semaines.

Pourquoi un appareil ne demande jamais la phrase

Un portefeuille matériel est un appareil qui génère les clés privées et les conserve durablement dans une puce cloisonnée, de sorte qu'elles ne quittent jamais l'appareil. C'est là toute sa raison d'être. Lorsqu'un logiciel, un site web ou une lettre vous réclame la phrase, il réclame exactement ce que l'appareil est conçu pour ne pas livrer. La demande elle-même est le diagnostic. La manière de conserver correctement la phrase, nous l'avons décrite dans notre guide sur la conservation sûre de la phrase de récupération.

Code QR dans une lettre : pourquoi le quishing contourne les protections habituelles

Le quishing désigne l'hameçonnage par code QR. L'attaque est efficace parce qu'elle met hors jeu d'un seul coup trois couches de protection qui joueraient dans le cas d'un courriel.

Un filtre antispam ne voit pas une lettre. Un avertissement du navigateur pour les sites frauduleux connus reste souvent sans effet, car les domaines fraîchement enregistrés ne figurent encore sur aucune liste. Et la couche la plus importante disparaît entièrement : avec un courriel, vous pouvez survoler le lien et lire l'adresse de destination avant de cliquer. Un code QR n'a aucun sens pour l'œil humain. Vous n'apprenez où il mène qu'après l'avoir scanné, et vous vous y trouvez déjà.

S'y ajoute le changement d'appareil. La lettre est posée sur la table de la cuisine, le scan se fait avec le téléphone. L'opération quitte ainsi précisément l'appareil sur lequel beaucoup ont installé leur logiciel de protection, pour atterrir sur celui dont l'écran tronque le plus fortement la barre d'adresse. Un nom de domaine qui saute aux yeux sur un écran d'ordinateur n'apparaît souvent même pas en entier sur un téléphone.

Les lettres Ledger d'avril à juin 2026 : les prémices de cette vague

Ce procédé n'est pas nouveau dans l'espace germanophone. À partir de fin avril 2026, des clients du fabricant français de portefeuilles matériels Ledger ont reçu des lettres imprimées exigeant une mise à jour de sécurité dite de résistance quantique. Cryptopolitan en a décrit la facture : impression professionnelle, code QR, ainsi que le numéro de modèle exact et l'historique de commande du destinataire. Ledger a confirmé publiquement début juin 2026 que ces lettres sont des faux, en rappelant que l'entreprise ne demande jamais la phrase de récupération de 24 mots.

La comparaison des deux vagues montre ce qui a changé. Les lettres Ledger étaient taillées pour une marque et reposaient sur le fait que les destinataires étaient effectivement clients de celle-ci. Les lettres évoquées par l'OFCS en août portent, selon l'autorité, sur divers portefeuilles crypto. Qui n'a appris qu'à se méfier des lettres portant un nom de marque précis n'est plus protégé pour autant.

D'où les expéditeurs tiennent votre adresse postale : les fuites chez les revendeurs de portefeuilles

Une lettre d'hameçonnage a besoin d'une adresse, et d'une adresse derrière laquelle réside, avec une probabilité accrue, un détenteur de cryptomonnaies. De tels fichiers ne naissent pas au hasard. L'origine se situe là où des données de commande s'échappent d'un revendeur ou d'un prestataire d'expédition.

Dans le cas Ledger, la piste mène, selon Cryptopolitan, à la fuite de données de l'entreprise survenue en 2020, au cours de laquelle des noms, adresses et numéros de téléphone de clients ont été dérobés. Ces données circulent depuis lors et vieillissent lentement, les gens déménageant rarement.

Plus récent est le matériel de ce mois d'août. Nous avons rendu compte le 13 août d'une fuite de données chez le prestataire d'expédition ShipMonk portant sur des adresses de clients Trezor, puis le 20 août de données de commande échappées chez SafePal. Ces deux informations proviennent de notre propre couverture et non du communiqué de l'OFCS. Aucune preuve publique n'établit que ce sont précisément ces fichiers qui se trouvent derrière ces lettres, et il sera d'ailleurs difficile de l'établir depuis l'extérieur.

Concrètement : si vous avez commandé un portefeuille matériel en ligne ces dernières années, votre adresse de livraison figure de façon plausible dans de tels fichiers. Ce n'est pas un motif de panique ni un problème de sécurité de votre appareil. C'est la raison pour laquelle c'est vous qui recevez une telle lettre, et non votre voisin. Si vous réexaminez votre choix d'appareil, les critères figurent dans notre comparatif des portefeuilles matériels.

Deux semaines de délai au lieu d'une pression temporelle : pourquoi cette lettre est construite autrement

Le détail le plus frappant du communiqué de l'OFCS est un délai. La lettre accorde au destinataire plus de deux semaines, selon l'autorité. C'est inhabituel pour une tentative d'escroquerie, car les attaquants créent d'ordinaire une pression temporelle artificielle afin que personne ne réfléchisse ni ne se renseigne.

L'autorité analyse ce long délai comme un facteur de crédibilité, et l'explication est plausible. Un courrier qui vous laisse quatorze jours a l'allure d'une communication administrative et non d'une menace. Il vous permet même de laisser la lettre de côté et d'y revenir plus tard, ce qui renforce l'impression de sérieux.

Pour vous, la caractéristique s'inverse donc. Jusqu'ici, la pression temporelle passait pour un signal d'alerte. Avec ce type de lettre, c'est le calme qui constitue le signal d'alerte, car aucun fabricant n'assortit une mise à jour de sécurité d'un délai supplémentaire de deux semaines. Les véritables consignes de sécurité vous disent d'agir immédiatement, et elles vous parviennent dans l'application ou sur le site du fabricant, non dans la boîte aux lettres.

Véritable mise à jour du micrologiciel ou hameçonnage : à quoi reconnaître la différence

Le micrologiciel est le logiciel qui s'exécute sur l'appareil lui-même. Il est installé au moyen du logiciel de gestion officiel du fabricant, qui s'adresse directement à l'appareil et vérifie la signature cryptographique de la mise à jour. Cette voie commence toujours chez vous, jamais par une injonction venue de l'extérieur.

Trois points de contrôle en découlent, qui se passent de connaissances techniques.

Le premier est le canal. Une mise à jour s'affiche dans l'application du fabricant. Elle n'est annoncée ni par courrier postal, ni par SMS, ni dans un courriel comportant une injonction d'agir.

Le deuxième est la question de la phrase. Aucune procédure de mise à jour ne la réclame. Pas davantage lorsqu'une page prétend seulement la « vérifier » ou la « migrer ».

Le troisième est l'adresse. Quand vous consultez le site d'un fabricant, vous la saisissez vous-même ou utilisez votre propre signet. Un code QR issu d'un courrier non sollicité n'en tient pas lieu.

Apparentée, mais de nature technique différente, est l'attaque par des fenêtres d'autorisation frauduleuses, où vous ne livrez aucune phrase mais signez une transaction qui fait autre chose que ce qui est affiché. La manière de lire ces fenêtres, nous l'avons décortiquée dans notre article sur les wallet drainers et les autorisations de signature, et un cas réel chez un fabricant dans notre analyse de la faille de signature dans l'application Ethereum. Ces deux affaires n'ont rien à voir avec la lettre, si ce n'est qu'elles répondent à la même question : qu'y a-t-il réellement derrière ce que je m'apprête à confirmer ?

Portefeuille matériel, portefeuille logiciel, plateforme : qui cette attaque touche vraiment

La portée de l'attaque dépend de l'endroit où se trouvent vos avoirs, et les trois cas diffèrent nettement.

Avec un portefeuille matériel, l'attaque vous frappe de plein fouet dès que vous saisissez la phrase. Aucune instance ne récupère la transaction et aucun service client ne gèle le compte.

Avec un portefeuille logiciel sur téléphone ou dans le navigateur, il en va de même. Là aussi, la phrase est le passe-partout. La seule différence tient à ce qu'un tel portefeuille réside de toute façon sur un appareil connecté à internet et présente donc des voies d'attaque supplémentaires. Un aperçu des critères figure dans notre comparatif des portefeuilles logiciels.

Si vos avoirs se trouvent en revanche sur une plateforme réglementée, aucune phrase de récupération n'existe pour vous, les clés étant détenues par le conservateur. Une lettre qui réclame votre phrase y reste sans effet. Cela ne protège pas d'autres procédés, comme les fausses injonctions de retrait, que nous avons traitées dans un article distinct consacré à l'hameçonnage autour des retraits sur les plateformes.

Ce que vous devez faire si vous avez déjà saisi la phrase de récupération

Si vous avez scanné le code QR et saisi la phrase, la rapidité compte, et l'ordre des opérations importe.

Créez d'abord un nouveau portefeuille avec une nouvelle phrase sur un appareil sain. Transférez ensuite les avoirs de l'ancien portefeuille vers le nouveau. Dans cet ordre, car un transfert a besoin d'une destination, et cette destination doit exister avant que vous n'envoyiez quoi que ce soit.

L'ancien portefeuille est ensuite définitivement inutilisable. Un changement de mot de passe, un nouveau code PIN ou une réinitialisation de l'appareil n'y changent rien, la phrase valant indépendamment de l'appareil. Qui la détient peut reconfigurer le portefeuille ailleurs à tout moment.

Anticipez les conséquences fiscales. Un transfert entre deux portefeuilles vous appartenant n'est pas une vente en Allemagne, mais il demande à être documenté, afin que personne ne suppose plus tard un encaissement là où il n'y en a pas eu. Un vol, de son côté, ne peut pas être déduit sans autre comme une perte sur le plan fiscal. Les deux méritent d'être consignés, et les outils de notre panorama des outils fiscaux et des suivis de portefeuille s'y prêtent. En cas de préjudice financier avéré, l'OFCS recommande expressément de déposer une plainte pénale.

Ce que vous pouvez signaler, même sans préjudice

Si la lettre vous est parvenue sans que vous y donniez suite, elle conserve malgré tout une valeur. Elle établit que votre adresse figure sur un fichier. Conservez-la, photographiez-la et signalez-la au fabricant au nom duquel elle a été envoyée. En Allemagne, les centrales de consommateurs et l'Office fédéral de la sécurité des technologies de l'information reçoivent ce type de signalement. Et traitez le courrier ultérieur adressé à la même adresse avec la même méfiance, car un fichier d'adresses vendu une fois se revend.

Hameçonnage de portefeuille crypto par courrier : ce qu'il faut en retenir

1. Retenez la règle unique qui couvre toutes les variantes. La phrase de récupération ne se saisit jamais nulle part, sauf lors de la restauration d'un portefeuille sur un appareil que vous tenez vous-même en main à ce moment précis. Aucune mise à jour, aucune vérification et aucune migration n'en a besoin. Si vous ignorez quel appareil respecte proprement cette séparation, le comparatif des portefeuilles matériels vous aidera à y voir clair.
2. Examinez votre mode de conservation, pas seulement votre boîte aux lettres. Qui conserve tout par lui-même supporte seul l'intégralité du risque lié à ce procédé. Qui laisse une partie chez un prestataire supervisé déplace ce risque particulier, mais s'expose en contrepartie à un risque de contrepartie. Les prestataires agréés dans l'Union figurent dans le panorama des plateformes crypto réglementées.
3. Documentez immédiatement chaque déplacement de vos avoirs. Si vous changez de phrase par précaution, il en résulte des transferts que vous ne reconstituerez plus de mémoire un an plus tard. Un outil de suivi issu du panorama des outils fiscaux et des suivis de portefeuille vous épargne ce travail tant que les données sont encore fraîches.

Le véritable enseignement de la semaine est peu spectaculaire et donc facile à sous-estimer. Les attaquants n'ont rien appris de technique, ils ont appris quelque chose sur la confiance. Ils ont compris que le papier paraît plus crédible qu'un courriel dans un environnement numérique, et ils paient l'affranchissement pour cela. Tant que le calcul sera bon, la prochaine vague n'arrivera pas par messagerie. L'évolution du marché par ailleurs se lit dans notre prévision du cours du Bitcoin ; le cours n'a toutefois aucune influence sur la sécurité de votre phrase.

(Au 25 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)