Faux site Ledger en tête de la recherche Google : « Si la phrase de récupération a été communiquée, le portefeuille doit être considéré comme compromis »

Qui cherche le logiciel d’un portefeuille matériel Ledger par un moteur de recherche peut aujourd’hui tomber sur une copie. Le chercheur en sécurité Cyber Scrilla a signalé samedi un faux site Ledger accompagné d’une application assortie, apparu très haut dans les résultats naturels de Google et qui demande aux visiteurs leurs 24 mots. Ces 24 mots sont l’accès à l’intégralité des avoirs. Qui les saisit perd le contrôle du portefeuille, même si personne n’a jamais eu l’appareil lui-même entre les mains.

Pour les porteurs en Allemagne, il n’en résulte pas une liste de contrôle supplémentaire pour les courriels suspects, mais une habitude : le logiciel d’un portefeuille se rejoint par un favori ou par une adresse saisie soi-même, jamais par le champ de recherche. Cet article replace ce qui est signalé, explique comment une contrefaçon parvient à remonter et indique quoi faire si la phrase a déjà été saisie.

Faux site Ledger dans la recherche Google : ce que les chercheurs en sécurité ont signalé

Le signalement vient du chercheur en sécurité Cyber Scrilla, qui a indiqué samedi l’existence d’un site Ledger reconstitué et d’une application associée. Tous deux sont conçus pour demander la phrase de récupération de 24 mots. Coinfomania rapporte que le site aurait réuni plus d’un million de visites au cours du mois écoulé, et rattache ce chiffre à des données de Google.

Ce chiffre appelle à la prudence. D’autres comptes rendus du même jour reprennent l’ordre de grandeur, mais le présentent expressément comme une affirmation et ne citent aucune base de mesure propre. Ce qui est solide, c’est donc la direction et non la décimale : la contrefaçon n’a pas atteint quelques dizaines de personnes, mais un nombre de l’ordre d’une ville allemande moyenne. Les comptes rendus ne nomment pas le domaine concerné, ce qui rend la vérification plus difficile pour le lecteur.

Pour l’appréciation, il importe aussi de voir ce qui ne s’est pas produit ici. Rien n’indique que le matériel de Ledger présenterait une faille ou que l’entreprise aurait perdu des clés. Ce qui est attaqué, c’est le chemin vers le fabricant, non le produit.

Phrase de récupération : pourquoi 24 mots sont le véritable point d’attaque

La phrase de récupération, souvent appelée phrase de sauvegarde, est une liste de 24 mots en général, à partir de laquelle se calculent toutes les clés privées d’un portefeuille. Cette liste de mots ne fonctionne pas comme un mot de passe que l’on peut réinitialiser. Qui la possède possède les avoirs.

D’où la règle dure qui se tient derrière tout portefeuille matériel : la phrase ne quitte jamais l’appareil et la feuille de papier. Aucun fabricant, aucun service d’assistance, aucune page de vérification et aucune mise à jour n’en a besoin. Un portefeuille matériel est sûr précisément parce que les clés ne quittent jamais l’appareil ; un champ de saisie dans le navigateur annule cette protection en une seule étape. Elle se conserve hors ligne, sur papier ou sur métal frappé, et dans un endroit que seul le propriétaire connaît.

L’expert en criminalistique Albert Quehenberger est cité par BTC-Echo avec cette phrase : « Si la phrase de récupération a été communiquée, le portefeuille doit être considéré comme compromis. » C’est la conséquence technique, non une formule de précaution. Un attaquant qui connaît les mots peut reconstituer le portefeuille sur n’importe quel appareil et n’a rien d’autre à franchir.

Empoisonnement de la recherche et publicité malveillante : comment une copie arrive en tête de la liste

Qu’un site frauduleux se tienne en haut de la recherche n’est pas un hasard, ni le signe d’un moteur de recherche piraté. Deux mécanismes se conjuguent ici, et tous deux coûtent moins cher qu’on ne le suppose.

Le premier est le placement payant. Qui achète une annonce sur un nom de marque se retrouve au-dessus du premier résultat non payant. La société de sécurité Zscaler avait déjà trouvé en septembre des annonces Google malveillantes se faisant passer pour Ledger et menant les internautes vers de fausses pages de vérification ; Coinfomania y renvoie dans son compte rendu. Les annonces sont contrôlées, mais le contrôle prend du temps, et quelques heures de diffusion suffisent déjà.

Le second est le placement naturel, et c’est lui qui explique le cas présent. Une copie du site véritable hérite de sa structure, de ses textes et de ses termes. Si suffisamment de liens venus d’autres sites s’y ajoutent, le moteur de recherche juge la copie pertinente pour une requête de marque. Les spécialistes appellent cela l’empoisonnement de la recherche : la liste de résultats reste techniquement correcte, seulement à sa tête se trouve la mauvaise adresse.

C’est de là que vient l’enseignement qui distingue ce cas des vagues d’hameçonnage habituelles. Jusqu’ici, la recherche passait pour la voie sûre et le courriel inattendu pour la voie dangereuse. Cet ordre ne tient plus. Qui veut vérifier quel appareil et quel logiciel correspondent à ses propres exigences trouve les modèles et leurs différences de conservation et de maniement dans le comparatif des portefeuilles matériels.

L’échéance inventée du 15 octobre : comment les courriels Ledger sont construits

Parallèlement au faux site circulent de faux courriels. BTC-Echo décrit des messages qui alertent au nom de Ledger sur une faille de sécurité et exigent une mise à jour de sécurité manuelle avant le 15 octobre 2026. Cette échéance n’existe pas ; elle est le levier de pression.

Le procédé est bien connu de la recherche sur la fraude et doublement efficace dans ce cas, parce qu’un incident est effectivement en cours. Une actualité réelle rend le faux courriel plausible. S’y ajoutent de fausses demandes d’assistance où, selon BTC-Echo, des attaquants se présentent comme des secours après un prétendu incident de sécurité et réclament des identifiants ou font valider des transactions.

Trois traits traversent presque tous ces courriels : une date qui crée la hâte, une action censée se dérouler dans le navigateur, et une demande qui va au-delà d’une simple connexion. Si la date manque, il reste l’invitation à saisir quelque chose qui ne se saisit jamais.

Piratage Ledger via le revendeur CryptoBilis : ce qui est établi à ce jour et ce qui ne l’est pas

Le fond sur lequel les contrefaçons fonctionnent si bien en ce moment est un second incident. Depuis le 9 octobre, Ledger examine des signalements d’avoirs vidés chez des clients qui s’étaient procuré leurs appareils en Asie du Sud-Est auprès du revendeur CryptoBilis. L’analyste en chaîne Specter aboutit, selon BTC-Echo, à plus de 86 millions de dollars qui auraient été transférés à travers plusieurs chaînes de blocs.

L’honnêteté veut que l’on précise que BTC-Echo n’a pas pu confirmer cette somme lui-même : le portefeuille cité chez Arkham Intelligence n’a pas pu être retrouvé sous la dénomination indiquée. Une désignation publique des causes par Ledger fait également encore défaut. Ce que cryptoticker.io a rassemblé le 9 octobre 2026 sur les appareils manipulés et sur le revendeur arrêté figure dans notre reconstitution de l’incident Ledger.

Pour les propriétaires en Allemagne, cette partie reste circonscrite. CryptoBilis a vendu en Asie du Sud-Est, pas ici. L’assistance de Ledger recommande, selon BTC-Echo, de ne pas configurer un appareil acheté chez ce revendeur au cours des 90 derniers jours et, pour les appareils déjà configurés, de transférer les avoirs vers un nouvel appareil doté d’une nouvelle phrase. Qui a acheté son appareil chez le fabricant ou dans le commerce spécialisé allemand n’est pas visé par cette recommandation.

Comment procéder maintenant si vous avez saisi la phrase de récupération

Une phrase saisie n’est pas réparable. Une telle suite de mots ne peut être ni modifiée, ni bloquée, ni rappelée, et la pression du temps est réelle : des outils automatisés vident souvent les adresses touchées en quelques minutes.

La première étape est un nouveau portefeuille avec une phrase nouvellement produite, créé sur un appareil qui n’a jamais été en contact avec la contrefaçon. C’est seulement ensuite que les avoirs y sont transférés, en commençant par la position la plus importante. Réinitialiser l’ancien appareil n’aide pas, car la phrase est déjà sortie de la maison. Il n’aide pas davantage de continuer à surveiller l’ancien portefeuille : qui a les mots n’a pas besoin d’un second essai.

Si vous en êtes resté à un clic sur le site, sans aucune saisie, rien n’est perdu. Il suffit alors de supprimer les fichiers téléchargés depuis de telles sources et de contrôler les autorisations accordées. Une phrase qui n’a été saisie nulle part reste une phrase en état de marche.

Un favori plutôt que le champ de recherche : rejoindre Ledger Live et les autres logiciels en sécurité

Contre l’empoisonnement de la recherche, l’attention sert peu. Ce qui tient, c’est une inversion de l’ordre. L’adresse du site du fabricant est saisie manuellement une fois, vérifiée soigneusement et enregistrée comme favori. Ensuite, chaque visite commence par ce favori, et la recherche disparaît entièrement pour cet usage précis.

Au moment de l’enregistrement, l’orthographe du domaine mérite un coup d’œil. Les caractères interchangeables, les syllabes supplémentaires ou une autre terminaison sont le métier courant. Qui a déjà enregistré l’adresse n’a pas à la relire chaque fois ; c’est précisément le gain.

Il en va de même pour les portefeuilles logiciels, et là le dommage est souvent plus vite fait, parce que les clés se trouvent de toute façon sur l’ordinateur ou le téléphone. Là, c’est la voie par laquelle le logiciel est obtenu qui décide de qui détient les clés au bout du compte. Un second principe protège en plus : les programmes s’obtiennent depuis la source inscrite dans le favori, et jamais depuis un résultat de recherche.

Portefeuille matériel ou plateforme : où vos cryptos devraient se trouver après cet incident

Deux incidents dans la même semaine incitent à un raccourci, à savoir tout replacer sur une plateforme. Ce calcul ne tient que si l’on met proprement les risques en regard, car ils sont différents, et non simplement plus grands ou plus petits.

En conservation personnelle, le risque repose sur votre propre personne : une phrase perdue, une phrase de sauvegarde saisie, un appareil de provenance douteuse. Ce risque est maîtrisable, mais il est entièrement le vôtre. Chez une plateforme, il repose sur le prestataire : faillite, arrêt des retraits, incident chez un sous-traitant. Ce risque n’est pas maîtrisable, mais une contrepartie réglementée, soumise à des obligations, en répond.

En pratique, de nombreux porteurs séparent selon l’usage. Les montants que l’on déplace ou négocie restent chez un prestataire sous surveillance européenne ; les montants qui dorment passent en conservation personnelle. Quels prestataires sont agréés dans l’Union européenne sous MiCA et comment ils conservent les avoirs de la clientèle figure dans le panorama des plateformes crypto réglementées. Un agrément MiCA dit quelque chose de la surveillance et des obligations, rien du rendement.

Notre appréciation : le canal de recherche est le point faible, pas l’appareil

Du point de vue de la rédaction, ce cas déplace le conseil le plus important en matière de conservation personnelle. Les éléments se tiennent côte à côte : une contrefaçon en tête des résultats naturels avec un nombre de visiteurs de l’ordre du million selon Coinfomania, et les annonces menant à de fausses pages de vérification documentées par Zscaler en septembre. Les deux frappent des personnes qui n’ont rien fait de mal, sinon chercher un nom de marque.

Ce qui s’oppose à dessiner ce cas trop grand : le nombre de visiteurs n’est pas vérifié de façon indépendante, le domaine n’est pas nommé publiquement, et le nombre de visiteurs qui ont effectivement saisi leur phrase est inconnu. Un dommage de l’ordre de l’incident du revendeur n’est pas établi pour la contrefaçon. La recommandation reste malgré tout la même, parce qu’elle ne coûte rien : enregistrer un favori et ne plus utiliser le champ de recherche pour cet usage. Les avoirs en cryptomonnaies peuvent être intégralement perdus, et en conservation personnelle il n’existe aucune instance qui les remplace.

Hameçonnage Ledger : aucune échéance réelle ne court jusqu’au 15 octobre

L’échéance des courriels est inventée, l’incident chez le revendeur n’est pas encore élucidé, et le faux site peut réapparaître sous une nouvelle adresse. Trois étapes amènent malgré tout votre conservation à un état qui survit à cette vague.

1. Figer la voie d’accès. Saisir une fois manuellement l’adresse du site du fabricant, la vérifier et l’enregistrer comme favori. Si l’appareil actuel correspond à vos exigences, le comparatif des portefeuilles matériels le montre.
2. Faire le ménage dans les sources logicielles. N’obtenir les programmes de portefeuille que depuis la source enregistrée et supprimer les installations issues de résultats de recherche. Les différences de conservation des clés figurent dans le comparatif des portefeuilles logiciels.
3. Répartir les avoirs selon l’usage. Garder les montants de négociation chez un prestataire surveillé, les réserves en conservation personnelle. Quelles maisons sont agréées dans l’Union européenne figure chez les plateformes crypto réglementées.

(Au 10 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)