Les propriétaires de portefeuilles matériels victimes d'une campagne de phishing par courrier postal

En résumé

• Les utilisateurs de portefeuilles matériels de cryptomonnaie reçoivent des lettres postales frauduleuses se faisant passer pour Trezor et Ledger, utilisant leur branding officiel, hologrammes et codes QR pour rediriger les victimes vers des sites de phishing.
• L’arnaque copie les notifications de mise à niveau de sécurité et les échéances, incitant les utilisateurs à scanner des codes et à « activer » de faux contrôles pour éviter des limites d’accès au portefeuille.
• Les experts en sécurité indiquent que les attaquants utilisent d’anciens données de violation et étendent leur attaque au-delà des emails, en passant par le courrier physique, les SMS et les applications spoofées pour augmenter leurs taux de succès.

Les propriétaires de portefeuilles matériels de cryptomonnaie reçoivent désormais des lettres frauduleuses imitant Trezor et Ledger, avec hologrammes, signatures falsifiées de dirigeants et codes QR conçus pour voler leurs actifs numériques. Vendredi, l’expert en cybersécurité Dmitry Smilyanets a signalé l’arnaque sur X, en publiant une lettre estampillée Trezor, en soulignant la qualité de fabrication inquiétante.

Une nouvelle arnaque visant les clients @Trezor :

• une lettre physique ✅
• un hologramme ✅
• un code QR menant au site de scam ✅
• une signature du @CEO de Ledger 😂😂😂
• envoyée depuis 🇺🇸 PA pic.twitter.com/ou60qtsVmK

— 𝕯𝖒𝖎𝖙𝖗𝖞 𝕾𝖒𝖎𝖑𝖞𝖆𝖓𝖊𝖙𝖘 (@ddd1ms) 12 février 2026

La lettre de Trezor, avec une signature attribuée au PDG de son rival Ledger et un cachet postal américain, a révélé la négligence des escrocs sous une façade autrement soignée. « Restez prudents, tout le monde. Nous ne vous contacterons jamais en premier. Ne partagez jamais la sauvegarde de votre portefeuille avec personne. Vérifiez toujours uniquement via les canaux officiels et double-vérifiez tout. Ne faites pas confiance, vérifiez », a répondu Trezor au tweet de Smilyanets. Selon des copies partagées en ligne, la fausse lettre estampillée Trezor affirme qu’une nouvelle fonctionnalité « Authentication Check® » deviendra bientôt obligatoire et invite les utilisateurs à scanner un code QR pour l’activer avant une date limite, sous peine d’un accès limité au logiciel du portefeuille. Une autre lettre, circulant depuis octobre dernier et à thème Ledger, utilisait un langage similaire concernant un « Transaction Check » obligatoire et incitait également à scanner un code QR.

pas seulement Trezor. pic.twitter.com/6eIGArRIWq

— патужний патріот 🏴‍☠️ (@0x001408) 13 février 2026

Les escrocs s’appuient probablement sur des années de violations de données documentées chez ces deux entreprises, attaques ayant exposé adresses email, adresses domiciliaires, numéros de téléphone et preuves de possession de portefeuilles matériels. Le consultant en cybercriminalité David Sehyeon Baek a confié à Decrypt que le passage au courrier physique est une escalade psychologique délibérée, exploitant des instincts développés depuis des décennies. « Le courrier postal touche différemment les gens, surtout les utilisateurs de portefeuilles, car cela donne l’impression que la menace a quitté Internet pour entrer dans votre vie réelle », a-t-il expliqué. « Un email peut être ignoré comme spam, mais une lettre avec votre nom et votre adresse indique en gros : “nous pouvons vous localiser”, ce qui déclenche une réaction de sécurité beaucoup plus forte. » « Cela emprunte aussi de la crédibilité au système postal — la plupart d’entre nous ont grandi en associant les notifications envoyées par courrier aux banques, gouvernements et services publics, donc un en-tête soigné et un ton formel peuvent sembler plus officiels qu’un message dans une boîte mail aléatoire », a-t-il ajouté. « Les données divulguées il y a 10 ans peuvent encore être utiles aujourd’hui — à quelle fréquence les gens changent-ils leur numéro de téléphone ou leur adresse ? Pas si souvent », a déclaré Baek à Decrypt, soulignant que les données exposées restent « collantes » et permettent aux profils liés aux violations de mener des arnaques ciblées pendant des années via email, téléphone et courrier physique. Il a aussi précisé que les protections de la vie privée dans la cryptomonnaie sont souvent exagérées, notant que « ce n’est pas vraiment anonyme, c’est pseudonyme », et qu’une fois un portefeuille lié à une personne réelle, « tout l’historique des transactions devient très traçable ». « Les fournisseurs de portefeuilles matériels comme Ledger et Trezor ont une capacité limitée à arrêter directement les flux de phishing, car celui-ci se produit en dehors de l’appareil — dans le navigateur de l’utilisateur », a expliqué Alex Katz, PDG et fondateur de la société de cybersécurité Kerberus, à Decrypt.

Fuites de données de portefeuilles matériels Ledger et Trezor ont subi plusieurs incidents de violation de données par des tiers ces dernières années, notamment la violation de la plateforme e-commerce de Ledger en 2020, qui a exposé plus d’un million d’emails, des milliers d’adresses physiques et de numéros de téléphone, ainsi qu’une violation chez leur partenaire e-commerce rapportée le mois dernier, affectant des données de commandes. Trezor a également vu ses données de contact utilisateur exposées lors d’un incident interne MailChimp en 2022, suivi d’une brèche sur un portail de support tiers affectant environ 66 000 utilisateurs, alimentant des campagnes de phishing continues. Les utilisateurs de cryptomonnaie doivent toujours « faire du KYC régulièrement pour utiliser des échanges centralisés », a noté Katz, et ces bases de données peuvent être piratées, certains incidents n’étant révélés qu’ultérieurement, ce qui signifie que « quelque chose fuit toujours quelque part ». Il a ajouté que les utilisateurs doivent supposer qu’ils sont constamment ciblés. « Les attaquants continueront à combiner des canaux comme le courrier physique, les SMS et les applications spoofées, car cela augmente la crédibilité et la conversion. Pas seulement en 2026 — mais à l’avenir en général », a-t-il déclaré. Decrypt a contacté Trezor et Ledger pour obtenir leur commentaire.