Les portefeuilles Ledger ciblés par une campagne de phishing

Une campagne d’envoi de mails et de SMS frauduleux renvoie vers un faux site Ledger. Les escrocs invitent les détenteurs de portefeuilles à modifier leur phrase de sécurité.

Phishing en cours sur Ledger

L’alerte a été donnée par un blogueur de la cryptosphère qui a immédiatement réagi à la réception d’un SMS qui lui a été adressé personnellement et qu’il a divulgué dans la foulée.

Un SMS qui semble tout à fait officiel avec nom et prénom du destinataire, des informations que seul Ledger est censé connaître. Le message invite le détenteur du portefeuille à se connecter sur une URL« Ledger Report » redirigeant vers un site ressemblant comme deux gouttes d’eau à celui de Ledger hormis une graphie un peu singulière, invisible aux yeux du client pressé ou stressé « Lėdgėr.com ». La méthode utilisée est alors assez classique. Prétextant des vols de fonds dont des détenteurs de wallets Nano S ou Nano X auraient été victimes, le faux site exhorte les clients à ajouter une nouvelle phrase de sécurité à leur portefeuille. Le piège se referme alors sur l’utilisateur crédule. S’il renseigne sa phrase de récupération, les escrocs peuvent accèdent à ses fonds et les lui dérober.

Ledger a réagi rapidement. La société a confirmé le scam sur Twitter, réitérant la mise en garde que tout utilisateur de cold wallet devrait garder en tête : « Ne donnez jamais les 24 mots de votre phrase de récupération. Ledger ne vous les demandera jamais. »

🚨 SCAM ALERT 🚨

According to our information, some scammers are getting in touch with Ledger users through text messages and emails.

Never give the 24 words of your recovery seed. Ledger will never ask for them.

— Ledger (@Ledger) October 19, 2020

Une faille de sécurité mise en cause

Cette affaire de phishing en cours semble la conséquence d’un piratage datant du mois de juin ayant exposé les données personnelles d’un million de clients. Néanmoins, Ledger paraît repousser ce lien de cause à effet.

Mais avec un tweet aussi nébuleux : « Pour certaines raisons, nous ne pouvons pas expliquer plus en détail jusqu’à présent. Il ne semble pas y avoir de lien avec la fuite de notre base de données e-commerce de juillet. », la société ne parvient pas vraiment à convaincre. Il est vrai que le leader des hardwallets n’a pas toujours fait preuve d’une transparence notable. En effet, lors d’une autre attaque malveillante d’envergure, concernant  la gestion groupée des forks du Bitcoin et du BTC lui-même, la société avait témoigné d’une désinvolture assez sidérante. Non seulement, Ledger n’avait donné aucune réponse suite à la divulgation d’une faille datant pourtant de janvier 2019 mais n’avait même réalisé aucune modification pour en éviter l’exploitation. C’est sous la pression d’une publication d’un journal anglophone que la société avait fini par remédier au problème.

Ledger figure néanmoins toujours parmi les services les plus sécurisés en termes de stockage de cryptomonnaies. Une position de leader qui l’expose bien sûr à de nombreuses convoitises et à des attaques en tout genre qui nécessitent une prise en charge rapide du problème. La leçon semble avoir été retenue pour ce dernier épisode fâcheux. Si vous avez le moindre doute quant aux manipulations à effectuer sur votre portefeuille, il est conseillé de contacter le support de Ledger.