Attention aux portefeuilles froids ! Les utilisateurs de Trezor et Ledger reçoivent successivement des courriers physiques contenant des codes QR de phishing

Les méthodes d’escroquerie en cryptomonnaie évoluent à nouveau, avec plusieurs utilisateurs de portefeuilles matériels tels que Trezor et Ledger signalant récemment avoir reçu des lettres physiques déguisées en notifications officielles. Ces lettres demandent de scanner un code QR pour une vérification forcée, mais en réalité, elles incitent les utilisateurs à saisir leur phrase de récupération, permettant ainsi de voler leurs actifs. Ce type d’attaque n’est pas nouveau et souligne à nouveau les risques à long terme liés à la fuite de données personnelles et aux escroqueries par ingénierie sociale.

Lettres physiques déguisées en notifications officielles, exigeant une « vérification d’identité » dans un délai imparti

L’équipe de cybersécurité Dmitry Smilyanets indique que plusieurs utilisateurs ont reçu des lettres papier signées prétendument par Trezor ou Ledger, affirmant qu’ils doivent effectuer une « vérification d’authentification » ou une « vérification de transaction » dans un délai précis, faute de quoi leur appareil pourrait être restreint.

Selon les rapports, l’apparence de ces lettres est très soignée, comprenant de fausses signatures, logos de marque et autocollants de sécurité, avec un code QR de vérification joint. Dans certains cas, la lettre porte même la signature du PDG de Trezor, Matěj Žák.

Scan du code QR menant à un faux site web, incitant à saisir la phrase de récupération

Dmitry Smilyanets rapporte que le code QR dans la lettre redirige la victime vers un site malveillant imitant la page officielle, demandant la saisie de la phrase de récupération du portefeuille pour effectuer une prétendue « vérification de sécurité ». Une fois la phrase saisie, les données sont transmises via une API backend aux attaquants, leur permettant d’importer le portefeuille sur d’autres appareils et de transférer les actifs.

Les responsables officiels de Trezor et Ledger insistent à plusieurs reprises que ni eux ni leurs sites web, emails ou lettres physiques ne demandent jamais aux utilisateurs de fournir leur phrase de récupération. La fuite de cette phrase équivaut à céder le contrôle du portefeuille.

Origine de l’attaque : la fuite de données de Ledger par le passé, une liste ciblée

La précision avec laquelle ces lettres physiques parviennent aux destinataires est liée aux incidents de fuite de données survenus ces dernières années. En 2020, Ledger a été victime d’une fuite de données suite à un incident de sécurité chez son partenaire commercial Shopify, exposant les noms et adresses physiques de centaines de milliers de clients. En 2023, Ledger a également subi une attaque sur sa chaîne d’approvisionnement avec le Ledger Connect Kit. Début 2024, Trezor a signalé la fuite accidentelle de données de contact de 66 000 utilisateurs.

Le mois dernier, Ledger a été victime d’une intrusion via son prestataire de services de paiement tiers, Global-e, entraînant la fuite des noms et coordonnées des utilisateurs. Bien que la société ait affirmé que ni les clés privées ni les informations de paiement n’ont été compromises, ces données peuvent néanmoins être utilisées pour des attaques de phishing. Même si l’appareil de portefeuille lui-même reste sécurisé, la fuite de données personnelles peut continuer à être exploitée à plusieurs reprises.

(Le fournisseur de paiement tiers de Ledger, Global-e, a subi une fuite de données, la société répondant « la sécurité de l’appareil portefeuille n’est pas compromise »)

Évolution des méthodes d’escroquerie : du courriel à l’ingénierie sociale physique

En observant les tendances récentes, les techniques de phishing se sont étendues des emails et messages frauduleux de service client à la falsification d’applications, voire à l’envoi de faux appareils matériels et de lettres physiques. Les lettres physiques réduisent la méfiance des utilisateurs, surtout lorsque leur conception est très réaliste, ce qui facilite la confusion. La multiplication de ces attaques reflète également les risques liés à la protection des données et à la dépendance à des tiers dans l’industrie de la cryptographie.

Dmitry Smilyanets rappelle que la meilleure défense pour les utilisateurs reste le principe fondamental : « Ne divulguez jamais votre phrase de récupération à quiconque, en aucune circonstance. » Dans un contexte où les incidents de cybersécurité sont nombreux, renforcer la vigilance des utilisateurs et la sécurité de la chaîne d’approvisionnement demeure un enjeu crucial pour l’industrie.

Cet article, « Attention aux portefeuilles froids ! Les utilisateurs de Trezor et Ledger reçoivent successivement des lettres physiques contenant des codes QR de phishing », a été initialement publié sur Chain News ABMedia.