Arnaques aux faux portefeuilles : le piège de la migration

Les escroqueries par lettre de faux portefeuilles matériels utilisent le courrier physique pour usurper l'identité de Ledger, Trezor et d'autres marques, puis pressent les destinataires à effectuer un « remplacement de sécurité » ou une « mise à jour du firmware » qui extrait leur phrase de récupération.

Une fois que ces 12, 18 ou 24 mots sont divulgués, les attaquants peuvent recréer le portefeuille ailleurs et déplacer des fonds dans des transactions qui sont généralement irréversibles.

Points clés

• Ces escroqueries sont un « piège de migration » en deux étapes : une lettre ou un colis physique fabrique une autorité, puis une étape de récupération ou d'importation forcée capture la phrase de récupération..
• L'attaquant n'a pas besoin de briser la cryptographie d'un portefeuille matériel. Ils ont juste besoin de la phrase de récupération, que les entreprises de portefeuilles légitimes n'ont pas besoin et ne demanderont pas.
• Un emballage « scellé » et des lettres ressemblant à des marques ne sont pas des signaux de sécurité. La provenance et la vérification indépendante sont.
• Si des fonds sont déplacés après une fuite de clé, la récupération est généralement peu probable même lorsque les enquêteurs peuvent suivre la piste, donc la prévention l'emporte sur la réponse.

Comment fonctionnent les arnaques aux lettres de faux portefeuilles

Le jeu commence par du courrier physique car il contourne les filtres mentaux anti-spam que les gens utilisent pour les e-mails et les messages directs. Une lettre sur du papier à en-tête de marque, parfois accompagnée d'un appareil non sollicité, crée la sensation qu'un fabricant connu mène une remediation officielle.

C'est pourquoi ce schéma est souvent décrit comme du phishing physique : la méthode de livraison est hors ligne, mais la charge utile reste un flux de phishing.

La structure de l'escroquerie est cohérente à travers les variantes "lettre de faux Ledger" et "escroquerie de lettre Trezor". La lettre prétend qu'il y a eu une violation, une exploitation ou un problème de sécurité urgent et cadre le destinataire comme exposé en ce moment. PCMag a documenté une version où les escrocs ont expédié de faux matériels Ledger avec une lettre affirmant que l'appareil existant de la victime n'était pas sécurisé.

Binance a ensuite décrit une configuration similaire : un colis non sollicité contenant un appareil Ledger et une lettre affirmant qu'il avait été envoyé en raison d'une violation de données Ledger, instruisant l'utilisateur de remplacer son appareil.

À partir de là, la lettre dirige la victime vers une étape de migration. Les instructions pointent généralement vers une URL ou un code QR d'escroquerie de portefeuille qui mène à un site similaire ou invite à télécharger une application. On dit à la victime de "vérifier", "restaurer" ou "importer" pour sécuriser des fonds. Cette étape est l'objectif entier.

Si la victime tape la phrase de récupération dans quoi que ce soit connecté à Internet, l'achat du portefeuille matériel a été transformé en un événement d'extraction de clé.

C'est pourquoi la catégorie plus large des escroqueries de portefeuilles crypto et comment les éviter revient toujours à une règle. L'escroquerie s'effondre si la vérification se fait par des canaux officiels trouvés de manière indépendante et que la phrase de récupération ne quitte jamais le processus de sauvegarde hors ligne de la victime.

Le mécanisme derrière le vol

Un portefeuille matériel est un dispositif de signature, pas un coffre-fort magique. Il est conçu pour garder les clés privées hors d'un ordinateur connecté à Internet tout en permettant toujours de signer des transactions. Le point faible ciblé par le phishing par courrier de portefeuille matériel n'est pas la cryptographie de l'appareil. C'est le chemin de récupération.

Le chemin de récupération est la phrase de récupération : généralement 12, 18 ou 24 mots qui contrôlent les fonds. Le BitcoinLe manuel est explicite sur deux points qui comptent ici. Premièrement, ces mots fonctionnent comme la clé du portefeuille. Deuxièmement, les entreprises de portefeuilles légitimes n'ont pas besoin de ces mots et ne les demanderont pas. C'est pourquoi le récit du « remplacement de votre appareil » est si efficace. Il introduit une demande pour le seul secret qui compte dans un flux de travail qui ressemble à un support client.

Une fois qu'un attaquant a la phrase de récupération, le reste est simple. Il peut restaurer le portefeuille sur son propre appareil ou logiciel de portefeuille et déplacerles actifshors. Le portefeuille matériel original de la victime peut encore être physiquement en main et toujours être « sécurisé » au sens étroit, tandis que les fonds sont déjà partis parce que l'attaquant opère à partir d'un état de portefeuille cloné.

Un emballage « scellé » ne résout pas ce problème. Cointelegraph a décrit un cas où un utilisateur a fait confiance à un portefeuille matériel scellé obtenu via TikTok et a perdu 6,9 millions de dollars.

L'extrait ne détaille pas complètement si la compromission est venue d'une graine pré-générée, d'un flux de configuration manipulé ou d'un paquet re-scellé, mais la leçon est claire : l'emballage n'est pas une garantie cryptographique de provenance.

Lorsque les clés fuient et que les fonds se déplacent, les options du défenseur se réduisent rapidement. Cointelegraph note que SlowMist pourrait suivre les fonds volés, mais a décrit peu d'espoir de récupération après la fuite de la clé duportefeuille froid. C'est l'asymétrie que ces escroqueries exploitent.

Exemples du monde réel et appâts courants

La couche de persuasion est remarquablement répétitive à travers les canaux. Le Manuel Bitcoin décrit des campagnes de phishing qui s'appuient sur des phrases d'urgence comme « mise à jour de sécurité », « actifs en cours de mise à niveau » et « activité suspecte », associées à de l'usurpation de marque. La version lettre physique utilise le même script, juste livré dans une enveloppe.

Trois exemples documentés illustrent le schéma :

1. 20 juin 2021 : PCMag a rapporté que des escrocs expédiaient de faux appareils Ledger avec une lettre affirmant que l'appareil existant du destinataire était peu sûr. La lettre est l'élément d'autorité, et l'appareil est l'amplificateur de confiance. 2.

24 janvier 2024 : Le Manuel Bitcoin décrit un incident d'email d'usurpation de Trezor lié à un compromis d'un fournisseur tiers et cite Blockaid rapportant des pertes dépassant 600 000 $ de la part de victimes ayant répondu. Ce n'est pas une lettre, mais cela montre à quel point les communications de marque « ayant l'air officielles » peuvent être efficaces même lorsqu'elles proviennent d'un domaine légitime. 3.

12 août 2025 : Cointelegraph a raconté la perte de 6,9 millions de dollars liée au « portefeuille scellé » de TikTok et a signalé TikTok et des plateformes sociales similaires comme des lieux communs pour la vente de portefeuilles matériels compromis et d'autres escroqueries.

Les appâts convergent vers une action : amener la victime à effectuer une récupération ou un import qu'elle n'a pas initié. C'est pourquoi les codes QR apparaissent si souvent. Un code QR supprime la friction de la saisie d'une URL, et il rend le passage du papier au téléphone semblable à une étape d'intégration normale.

Certaines procédures essaient également d'escalader de la capture de graine à du phishing de signature, où la victime est poussée à approuver une transaction ou un message qui accorde l'accès ou des permissions. La condition de victoire principale de l'escroquerie par lettre reste la phrase de graine, mais les mêmes astuces d'urgence et d'autorité sont utilisées pour obtenir des signatures lorsque l'attaquant ne peut pas obtenir les mots.

Comment les repérer et les éviter

La défense n'est pas « être plus intelligent ». Il s'agit de supprimer les deux avantages de l'escroquerie : l'horloge et le canal. L'urgence est l'avantage, et le code QR de la lettre oule lienest la trappe.

Un processus de décision simple casse la plupart des escroqueries par lettre de faux portefeuilles matériels :

1. Arrêtez le flux de travail immédiatement. Ne scannez pas le code QR, ne cliquez pas sur le lien et ne branchez pas un appareil non sollicité. 2. Vérifiez par des canaux indépendants. Utilisez un signet connu ou naviguez manuellement vers le site officiel du fabricant, puis recherchez un avis de sécurité là-bas. N'utilisez pas les coordonnées imprimées dans la lettre. 3.

Traitez toute demande d'entrée d'une phrase de récupération sur un site web ou une application comme hostile. La règle du Manuel Bitcoin est celle qui compte : les entreprises de portefeuille légitimes n'en ont pas besoin et ne demanderont pas cela. 4. Séparez le « remplacement d'appareil » de la « divulgation de clé ». Un nouvel appareil peut être configuré sans jamais taper la phrase de récupération sur une page web.

La seule fois où la phrase de récupération doit être utilisée est lors d'une récupération que le propriétaire initie, en utilisant un logiciel de confiance, et non une « mise à niveau de sécurité » initiée par quelqu'un d'autre.

C'est ici que les meilleures pratiques des portefeuilles matériels cessent d'être une liste de contrôle générique et deviennent une posture. Supposez que les appareils entrants ne sont pas fiables jusqu'à preuve du contraire, et supposez que les instructions entrantes sont adversariales jusqu'à vérification.

L'affaire TikTok est l'étiquette d'avertissement claire pour la provenance. Cointelegraph décrit les plateformes de médias sociaux, y compris TikTok, comme des lieux communs pour les arnaques et les ventes de portefeuilles matériels compromis. « Scellé » est un signal marketing, pas une preuve de sécurité.

Vers la fin de toute conversation de prévention, le cadre plus large compte : les habitudes de prévention des arnaques de portefeuille. La même discipline de vérification qui bloque une fausse lettre Ledger bloque également les domaines similaires, les téléchargements d'applications malveillantes et les fils de support usurpés.

Si vous avez déjà interagi avec un

Les dommages dépendent de l'étape qui a été franchie. Ouvrir une lettre n'est pas le point de défaillance. Le point de défaillance est de divulguer des secrets ou de migrer sous les instructions de l'attaquant.

Triagez la situation dans l'ordre :

1. Si la phrase de récupération a été tapée sur un site ou une application, traitez-la comme compromise. Le modèle du Manuel Bitcoin est impitoyable ici : quiconque possède les 12, 18 ou 24 mots contrôle les fonds. 2. Si une transaction a été signée ou un message approuvé sous pression, supposez que l'attaquant tentait un phishing par signature et examinez ce qui a été autorisé.

L'objectif dans ces flux est de transformer un moment de panique en une autorisation durable. 3. Si des fonds ont déjà été déplacés, attendez-vous à une faible probabilité de récupération. L'exemple de Cointelegraph note que SlowMist pourrait suivre les fonds volés mais a décrit peu d'espoir de récupération après la fuite de clé.

L'objectif immédiat après une exposition suspectée est d'arrêter toute perte supplémentaire, pas de discuter avec la lettre. Cela signifie arrêter toute étape de « mise à niveau » supplémentaire, vérifier par des canaux officiels trouvés indépendamment, et traiter tout nouveau message entrant comme faisant partie de la même campagne.

La vérité inconfortable est que la réponse est généralement pire que la prévention car les transferts de crypto sont généralement irréversibles une fois confirmés. C'est pourquoi ces arnaques sont construites autour d'un moment irréversible : obtenir la phrase de récupération hors de l'appareil et hors du contrôle du propriétaire.

L'Analyse

J'ai vu des gens traiter une enveloppe de marque comme une mise à jour de sécurité d'Apple. Ce réflexe est exactement ce que les escroqueries par lettre de faux portefeuilles matériels achètent avec des frais de port. La lettre n'est pas le hack. Le hack est le flux de travail de "migration" forcée qui transforme un portefeuille matériel en un événement d'extraction de phrase de récupération.

La méprise la plus coûteuse est de penser que l'emballage est la frontière de sécurité. La perte de 6,9 millions de dollars de Cointelegraph liée au "portefeuille scellé" sur TikTok est le rappel que la provenance l'emporte sur le film plastique. Ralentissez le temps, vérifiez à partir de vos propres signets et gardez la phrase de récupération dans son couloir. Si ces mots ne sont jamais tapés dans un site ou une application, l'escroquerie n'a rien à voler.

Sources

• PCMag
• Binance Square
• Le Manuel Bitcoin
• Cointelegraph