Une fausse application Ledger sur l’App Store Mac vole 9,5 millions de dollars en crypto
Une version frauduleuse de l’application Ledger Live a dérobé plus de 9,5 millions de dollars en cryptomonnaies à plus de 50 utilisateurs — dont le musicien G. Love — avant que Apple ne la retire de l’App Store Mac. Si vous avez déjà fait confiance à une application simplement parce qu’elle est disponible dans un magasin officiel, cette histoire montre pourquoi même cela n’est pas toujours sûr.
Comment une fausse application a trompé des utilisateurs réels
Ledger est une entreprise connue pour fabriquer des « portefeuilles matériels » : de petits appareils qui stockent en toute sécurité les actifs numériques comme le Bitcoin hors ligne, à l’abri des pirates. Pour gérer ces actifs, les utilisateurs téléchargent souvent Ledger Live, le logiciel officiel de la société. Mais la semaine dernière, une contrefaçon convaincante de cette application est apparue sur l’App Store d’Apple.
L’application frauduleuse ressemblait presque exactement à l’originale. Une fois installée, elle demandait aux utilisateurs de connecter leur appareil Ledger et d’entrer leur phrase de récupération — une suite de 12 à 24 mots qui agit comme une clé maîtresse pour tous leurs actifs numériques. Partager cette phrase avec une application ou un site web donne instantanément accès total à vos fonds.
Pensez à votre phrase de récupération comme au code d’un coffre-fort personnel. Si quelqu’un vous fait entrer ce code dans une fausse application bancaire, il peut tout vider — même si l’application semble légitime.
Les victimes ont tout perdu en quelques minutes
Parmi les victimes se trouvait Garrett Dutton, connu sous le nom de G. Love, qui a perdu environ 447 000 dollars de Bitcoin. Il venait tout juste de passer à un nouvel ordinateur et, supposant que l’App Store ne proposait que des applications fiables, avait téléchargé ce qu’il pensait être Ledger Live. En quelques secondes, sa réserve entière de cryptomonnaies avait disparu.
L’enquêteur blockchain ZachXBT a traqué les fonds volés et a découvert :
- Plus de 9,5 millions de dollars ont été dérobés au total, sur Bitcoin, Solana, XRP et USDT.
- Un seul utilisateur a perdu 3,27 millions de dollars en monnaies stables.
- Au moins trois personnes ont chacune perdu plus de 1,95 million de dollars.
Les escrocs ont rapidement transféré l’argent via plus de 150 adresses liées à KuCoin, une plateforme d’échange de cryptomonnaies, en utilisant un service appelé AudiA6, qui mélange les fonds volés avec d’autres pour masquer leur origine — similaire à la manière dont on blanchirait de l’argent liquide en passant par plusieurs entreprises.
Pourquoi cette application était-elle autorisée sur l’App Store ?
L’App Store d’Apple dispose de règles strictes de vérification, mais les fraudeurs deviennent de plus en plus habiles à contourner ces contrôles. La fausse application Ledger utilisait une marque similaire, une orthographe correcte et reproduisait suffisamment bien les fonctionnalités réelles pour passer les premiers tests. Elle est restée en ligne pendant près d’une semaine — du 7 au 13 avril — avant d’être retirée.
Ce n’est pas la première fois que les utilisateurs Ledger sont ciblés. L’entreprise prévient que les attaques par phishing arrivent souvent via des applications falsifiées, des e-mails, des appels téléphoniques ou même des courriers postaux qui semblent officiels. L’an dernier, les autorités américaines ont récupéré 600 000 dollars en cryptomonnaies volés par des lettres frauduleuses envoyées sous le nom de Ledger.
Que signifie cela pour les particuliers ?
Vous n’avez pas besoin de posséder de cryptomonnaies pour tirer une leçon de cette histoire : la confiance n’est pas garantie simplement parce que quelque chose provient d’une grande plateforme comme Apple. Vérifiez toujours les URL, les éditeurs d’applications, et surtout, ne saisissez jamais votre phrase de récupération dans un logiciel — les vraies applications Ledger ne vous la demanderont jamais.
Si vous utilisez un portefeuille matériel :
- Téléchargez uniquement les logiciels depuis le site officiel (ledger.com), pas depuis les magasins d’applications.
- Marquez le site réel pour éviter les fautes de frappe.
- Traitez votre phrase de récupération comme un mot de passe que vous ne partagerez jamais — même pas avec le support technique.
Points clés à retenir
- Une application Ledger Live contrefaite sur l’App Store Mac a volé 9,5 millions de dollars en cryptomonnaies à plus de 50 utilisateurs.
- Parmi les victimes figurent des personnalités publiques comme le musicien G. Love, qui a perdu près de 500 000 dollars.
- Le scam fonctionnait en poussant les utilisateurs à saisir leur phrase de récupération privée — la clé ultime de leurs actifs numériques.
- Les fonds volés ont été rapidement blanchis via KuCoin grâce à des services de mélange pour effacer leur trace.
- Même les magasins d’applications fiables ne sont pas à l’abri des faux sophistiqués ; la vigilance est essentielle.
— Editorial Team
