TL;DR : L’essentiel
- Logiciel frauduleux imitant Ledger Live sur l’App Store officiel, détournant plus de neuf millions de dollars auprès de dizaines d’investisseurs piégés par l’interface.
- Un artiste a perdu l’intégralité de ses économies de retraite, soit près de 440 000 dollars, après avoir confié sa phrase de récupération au programme malveillant.
- Le retrait tardif de l’application par Apple souligne les failles de son processus de vérification, laissant des fonds définitivement inaccessibles sur la blockchain publique.
L’écosystème des actifs numériques vient d’être frappé par une campagne de fraude dévastatrice, où des économies massives ont été siphonnées via un faux portefeuille Ledger Live sur l’App Store d’Apple. Selon les informations rapportées par Hot for Security, cette application malveillante a exploité la confiance des utilisateurs pour dérober des fonds souvent accumulés sur plusieurs années. L’attaque repose sur la récupération frauduleuse de la « seed phrase », la clé maîtresse qui donne un contrôle total sur les avoirs stockés.
Le vol d’économies par ingénierie sociale
Le mode opératoire des cybercriminels s’appuie sur la légitimité apparente de la boutique officielle pour briser les réflexes de prudence. Lors de l’installation du logiciel factice, les victimes étaient incitées à saisir leur phrase de récupération de 12 ou 24 mots sous prétexte de synchronisation. Un musicien professionnel a ainsi vu s’envoler l’équivalent de 440 000 dollars en Bitcoin, des fonds qu’il détenait depuis dix ans et qu’il réservait spécifiquement pour sa retraite. Une fois ces mots saisis, les attaquants ont obtenu un accès irrévocable aux comptes, vidant les portefeuilles en quelques clics.
Comme l’indique CoinDesk, le préjudice global est massif. Un enquêteur spécialisé a révélé que 9,5 millions de dollars ont été siphonnés en une semaine seulement. Plus de cinquante victimes ont été recensées, dont trois ayant subi des pertes à sept chiffres. Cette situation tragique démontre qu’une simple erreur de jugement sur une plateforme jugée « sûre » peut réduire à néant des années d’épargne en un instant.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Les failles critiques du processus de vérification d’Apple
Cet incident soulève des questions fondamentales sur la rigueur du processus de contrôle des apps par Apple. La firme de Cupertino a longtemps utilisé la sécurité comme argument de vente principal, mais la présence de ce logiciel malveillant pendant plusieurs jours démontre qu’un risque zéro n’existe pas. Bien que l’application ait été retirée le 12 avril, le délai de réaction a malheureusement été suffisant pour permettre de ruiner de nombreux investisseurs. Des actions de groupe pourraient bien sûr être lancées contre la multinationale pour sa part de responsabilité.
Il est impératif de rappeler qu’aucune application légitime ne demande jamais la saisie d’une phrase de récupération. Il s’agit donc d’un rappel que la sécurité ne peut donc pas reposer uniquement sur la confiance envers un magasin d’apps.
FAQ sur les risques des faux portefeuilles
Comment les fraudeurs ont-ils pu voler les cryptomonnaies ?
Les attaquants ont créé une application imitant l’interface de Ledger Live pour inciter les utilisateurs à saisir leur phrase de récupération de 12 ou 24 mots. Ces mots constituent la clé de secours permettant de vider le portefeuille à distance sans autorisation.
Pourquoi l’application était-elle disponible sur la boutique officielle d’Apple ?
La sécurité à risque zéro n’existe malheureusement pas et le processus de vérification de l’App Store a laissé passer ce logiciel malveillant. L’application est restée accessible pendant plusieurs jours en avril avant d’être supprimée, permettant de frauder plus de cinquante personnes.
Une application de portefeuille légitime peut-elle demander une phrase de récupération ?
Non, aucun logiciel de portefeuille authentique ne demande jamais la saisie de ces mots secrets sur un écran d’ordinateur ou de téléphone. Toute demande de ce type est le signe d’une tentative d’escroquerie visant à détourner vos actifs.
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
