Fausse appli Ledger sur l'App Store : 9,5M$ volés en une semaine

Une fausse application Ledger Live s'est glissée dans le Mac App Store et y est restée active du 7 au 13 avril. Résultat : plus de 50 victimes et 9,5 millions de dollars partis en fumée.

C'est le détective on-chain ZachXBT qui a mis au jour l'arnaque. L'application imitait parfaitement le logiciel officiel de Ledger, celui qui permet de gérer ses actifs crypto depuis un hardware wallet. Les utilisateurs pensaient configurer leur appareil sur un nouveau Mac. Ils vidaient en réalité leur portefeuille.

Les cryptos volées incluent du Bitcoin, du Solana, du XRP et du USDT. Au moins trois victimes ont perdu chacune plus de 1,95 million de dollars. Le portefeuille le plus touché a été amputé de 3,27 millions de dollars en USDT en une seule transaction.

Parmi les victimes, le musicien américain G. Love — de son vrai nom Garrett Dutton, chanteur du groupe G. Love & Special Sauce. Il a perdu 5,92 BTC, soit environ 447 000 dollars, l'intégralité de son fonds de retraite selon ses propres mots. Il a posté sa mésaventure sur X le 11 avril : "J'ai perdu mon fonds de retraite dans un hack quand j'ai transféré mon Ledger sur mon nouvel ordinateur et que j'ai téléchargé par erreur une app malveillante depuis l'Apple Store."

Les fonds volés ont été blanchis via plus de 150 adresses de dépôt KuCoin, liées à un service de mixage centralisé baptisé AudiA6. L'exchange a indiqué avoir gelé un compte suspect après avoir été contacté par la victime, mais a précisé que toute action reste soumise aux procédures légales en vigueur.

KuCoin n'est pas à son premier scandale en matière de blanchiment. Le mois dernier, l'exchange s'est vu interdire l'accès aux utilisateurs américains faute d'enregistrement adéquat. L'année dernière, il a écopé d'une amende de 14 millions de dollars au Canada, la plus lourde amende anti-blanchiment jamais infligée dans le pays.

Apple n'a pas répondu aux demandes de commentaires. Ledger non plus, et aucun communiqué officiel n'a été publié sur cette campagne de phishing. L'application est toutefois restée disponible près de 48 heures supplémentaires après que les premiers vols ont été détectés.

Les fausses applications et sites web sont le vecteur de phishing numéro un ciblant les utilisateurs Ledger, devant les faux appels, emails et courriers. Le parquet du Connecticut avait d'ailleurs récupéré 600 000 dollars de crypto volés via de fausses lettres Ledger en début d'année.

Ce que ça change : Apple laisse traîner une application frauduleuse six jours dans son store officiel pendant qu'elle rince des millions à des utilisateurs lambda. Le mythe de l'écosystème fermé et sécurisé d'Apple prend un sacré coup, et Ledger ferait bien de cesser de se taire quand ses utilisateurs se font plumer.