Fausse app Ledger Live sur l'App Store : 9,5 M$ volés

Ce qui s'est passé

Une fausse app Ledger Live a franchi les contrôles de validation de l'App Store d'Apple et s'est retrouvée en téléchargement sur macOS. Visuellement identique au logiciel officiel de gestion des portefeuilles matériels Ledger — logo, interface, captures d'écran —, la contrefaçon reproduisait fidèlement le parcours d'installation. Une fois lancée, elle affichait un message d'erreur invitant l'utilisateur à ressaisir sa phrase de récupération de 24 mots, sous prétexte d'une vérification de sécurité ou d'une resynchronisation du portefeuille. Les mots saisis étaient aussitôt transmis à un serveur contrôlé par les attaquants, qui disposaient alors d'un accès total et irréversible aux fonds. Le préjudice atteindrait 9,5 millions de dollars en cryptomonnaies. L'affaire illustre la limite des processus de revue des app stores face aux applications financières frauduleuses et rappelle une règle absolue : aucune phrase de récupération ne doit jamais être saisie sur un ordinateur.

Les fonds dérobés ont ensuite été acheminés vers plus de 150 adresses de dépôt sur la plateforme d'échange KuCoin, liées à un service de mixage centralisé baptisé « AudiA6 ». Ce service blanchit les cryptomonnaies moyennant des commissions élevées, rendant la traçabilité des fonds considérablement plus complexe pour les enquêteurs. Apple a depuis retiré l'application frauduleuse de l'App Store, mais le délai entre sa publication et son retrait a suffi aux attaquants pour causer des dommages considérables. Cette affaire rappelle un précédent similaire où de fausses applications Ledger avaient déjà ciblé les utilisateurs macOS, comme l'avaient signalé plusieurs chercheurs en sécurité début 2025.

Pourquoi c'est important

Cette attaque remet en question la confiance accordée aux stores d'applications officiels comme garantie de sécurité. L'App Store d'Apple, réputé pour ses processus de validation rigoureux, a laissé passer une application manifestement malveillante qui imitait un logiciel financier critique. Pour les détenteurs de cryptomonnaies, la compromission d'une seed phrase signifie la perte irréversible de tous les actifs associés, sans aucun recours possible auprès d'une banque ou d'un assureur. Cette affaire s'inscrit dans une tendance plus large où les cybercriminels ciblent de plus en plus les utilisateurs de cryptomonnaies via des arnaques sophistiquées, comme en témoigne le récent démantèlement de l'opération Atlantic. Elle souligne également la responsabilité des plateformes de distribution dans la vérification de l'authenticité des applications financières, un enjeu que la feuille de route cybersécurité française 2026-2027 aborde dans son volet protection des consommateurs.

Ce qu'il faut retenir

• Ne jamais saisir sa phrase de récupération (seed phrase) dans une application, même téléchargée depuis un store officiel : Ledger ne la demande jamais dans son logiciel.
• Toujours vérifier l'éditeur et les avis d'une application avant installation, et privilégier le téléchargement direct depuis le site officiel du fabricant.
• Les vols de cryptomonnaies à grande échelle se multiplient : la vigilance reste le premier rempart, y compris face aux attaques ciblant les plateformes fintech.

Cette compromission n'est pas un cas isolé dans l'écosystème des portefeuilles matériels de cryptomonnaies. Dès janvier 2025, des chercheurs avaient documenté des campagnes similaires ciblant les utilisateurs de Ledger via des applications tierces malveillantes distribuées hors des canaux officiels, mais l'apparition d'un clone fonctionnel directement hébergé sur l'App Store d'Apple marque une escalade significative. Les stores mobiles et desktop d'Apple sont historiquement présentés comme un rempart contre les logiciels malveillants grâce à la revue manuelle du code et à la signature obligatoire des développeurs. Or, cette affaire démontre que des attaquants disposant de comptes développeur valides — potentiellement obtenus via usurpation d'identité ou achat de comptes compromis sur des forums spécialisés — peuvent contourner ces contrôles en soumettant une application dont le comportement malveillant n'est activé qu'après publication, ou dont l'interface trompeuse ne déclenche pas les heuristiques automatisées de détection d'Apple. Ce mode opératoire rappelle les techniques employées par les groupes nord-coréens comme Lazarus, connus pour cibler spécifiquement les détenteurs de cryptoactifs via de faux logiciels de trading ou de gestion de portefeuille, bien qu'aucune attribution formelle n'ait été établie à ce stade dans le cas Ledger.

Sur le plan financier, le montant de 9,5 millions de dollars dérobés en seulement quatre jours illustre la rentabilité extrême de ce type d'attaque comparée aux méthodes traditionnelles de phishing ou de ransomware, qui nécessitent généralement des semaines de préparation pour un gain unitaire bien inférieur. Le recours à un service de mixage centralisé comme « AudiA6 », plutôt qu'à des mixeurs décentralisés type Tornado Cash, suggère une volonté des attaquants de privilégier la rapidité d'exécution à l'anonymat maximal, quitte à s'exposer davantage aux enquêtes de sociétés spécialisées en analyse blockchain telles que Chainalysis ou TRM Labs. La dispersion sur plus de 150 adresses de dépôt KuCoin traduit également une stratégie classique de fragmentation destinée à complexifier le gel des fonds par l'exchange, une pratique de plus en plus scrutée par les régulateurs dans le cadre des obligations de lutte contre le blanchiment (LCB-FT) imposées aux plateformes d'échange. Ledger, de son côté, n'a pas commenté publiquement l'intrusion de manière détaillée au moment de la rédaction, mais la société maintient depuis plusieurs années une politique stricte rappelant qu'aucune application légitime, y compris Ledger Live, ne doit jamais demander la saisie de la phrase de récupération en dehors du dispositif physique du portefeuille matériel lui-même. Cette règle constitue la ligne de défense fondamentale contre ce type de fraude, indépendamment du canal de distribution emprunté par l'application frauduleuse. L'incident relance par ailleurs le débat sur la responsabilité des marketplaces d'applications dans la vérification approfondie des logiciels touchant à la finance décentralisée, un segment où les enjeux financiers individuels dépassent largement ceux visés par les malwares grand public classiques.