Arnaque crypto : une fausse application Ledger
sur l’App Store a volé 9,5 millions de dollars.

L’application frauduleuse reprenait l’apparence de Ledger Live, le logiciel officiel qui permet de gérer les actifs conservés sur un portefeuille physique Ledger. Elle a été publiée sous le compte développeur « Leva Heal Limited », une entité sans le moindre lien avec Ledger SAS, la société française qui conçoit les appareils et l’application authentique.

Les vols documentés se concentrent entre le 7 et le 13 avril 2026, soit une semaine. La durée de présence de la fiche sur la boutique fait l’objet d’estimations divergentes selon les sources : certaines évoquent une quinzaine de jours en ligne avant le retrait. La fenêtre de sept jours correspond aux transactions frauduleuses tracées, pas nécessairement à la durée de publication.

Le retrait n’a pas résulté d’une détection interne. Il est intervenu après des signalements publics d’utilisateurs et la couverture médiatique de l’affaire. L’enquêteur indépendant ZachXBT a publié sa reconstitution le 14 avril 2026, sur Telegram puis sur X.

La plupart des reprises de l’affaire parlent de « l’App Store », ce qui laisse imaginer un téléchargement sur iPhone. L’incident concerne en réalité le Mac App Store, la boutique logicielle de macOS. Les victimes sont des utilisateurs d’ordinateurs Apple.

Cette précision porte une information capitale. Ledger diffuse bien une application de bureau pour Mac, mais elle est distribuée depuis le site de l’éditeur, et non par le Mac App Store. Autrement dit, toute fiche Ledger Live apparaissant sur cette boutique était nécessairement une contrefaçon. Le canal de distribution suffisait à trancher, avant même le premier écran.

Ce constat vaut au-delà de Ledger. Vérifier par quel canal un éditeur distribue officiellement son logiciel est un réflexe plus rapide et plus fiable que l’examen d’une fiche. Une icône, un nom d’éditeur et des captures d’écran se copient en quelques minutes.

La phrase de récupération, souvent appelée seed phrase, est une suite de vingt-quatre mots générée par l’appareil au moment de sa première mise en service. Elle ne sert pas à se connecter : elle constitue la graine mathématique à partir de laquelle toutes les clés privées du portefeuille sont dérivées.

Une conséquence en découle, et elle explique l’ampleur des pertes. Celui qui détient ces mots ne récupère pas l’accès à un compte, il reconstruit le portefeuille entier sur n’importe quel appareil. Toutes les adresses dérivées deviennent accessibles simultanément, quel que soit le réseau : bitcoins, jetons Ethereum, stablecoins, positions de staking liquide.

C’est aussi ce qui rend l’opération irréversible. L’appareil physique reste entre les mains de la victime, intact, sans qu’aucune alerte ne se déclenche. Le vol s’effectue depuis une copie du portefeuille, ailleurs. Le même mécanisme d’usurpation d’interface qu’exploitent les fausses applications qui vident un compte bancaire, avec une différence majeure : ici, aucun rappel de fonds n’est possible.

La partie la plus instructive de l’enquête concerne l’aval. Selon ZachXBT, les fonds ont transité par plus de 150 adresses de dépôt ouvertes sur la plateforme d’échange KuCoin, rattachées à un service désigné sous le nom d’AudiA6, décrit comme un service centralisé de mélange pratiquant des commissions élevées.

Ce choix est notable. Une part croissante des vols passe par des protocoles décentralisés ou des ponts entre réseaux. Ici, les auteurs ont préféré une plateforme d’échange classique, ce qui suppose des contrôles de dépôt suffisamment souples pour absorber ce volume en quelques jours.

Le contexte réglementaire de la plateforme concernée alimente la discussion. KuCoin a versé plus de 300 millions de dollars aux autorités américaines en janvier 2025 pour solder des manquements en matière de lutte contre le blanchiment. En février 2026, le régulateur autrichien lui a interdit d’enregistrer de nouveaux utilisateurs dans l’Union européenne, quelques mois après l’obtention d’un agrément au titre du règlement MiCA.

Charles Guillemet, directeur technique de Ledger, a répété la règle fondamentale : l’entreprise ne demande jamais les vingt-quatre mots de récupération de ses utilisateurs. Si une application ou une personne les réclame, la demande est frauduleuse, sans exception.

Apple a retiré l’application et résilié le compte développeur associé, en rappelant n’avoir aucune tolérance pour les applications frauduleuses. L’entreprise n’a pas expliqué publiquement comment la contrefaçon avait franchi sa procédure de validation, qui associe pourtant examen humain, analyses automatisées et vérification d’identité des développeurs.

KuCoin a contesté l’idée d’avoir « laissé » circuler des flux illicites, indiquant surveiller les activités suspectes conformément aux attentes réglementaires et gelé temporairement un compte suspect. La plateforme a déclaré le dossier à l’étude sans commenter davantage. La confiance accordée à l’apparence d’un service reste le point faible dominant, comme le montrent les statistiques sur la proportion de messages malveillants.

ZachXBT avait évoqué en avril la possibilité d’une action collective contre Apple. Cette hypothèse s’est matérialisée sous une autre forme trois mois plus tard, sur un dossier distinct mais très proche.

Le 24 juillet 2026, trois plaignants ont déposé une plainte devant le tribunal fédéral du district nord de Californie. Ils reprochent à Apple d’avoir hébergé et mis en avant une fausse version de Sparrow Wallet, un logiciel de portefeuille bitcoin qui n’a jamais existé sur mobile. Le préjudice invoqué atteint 1,8 million de dollars, sur des faits situés entre mai et août 2025. Selon la plainte, le développeur légitime avait alerté Apple pendant plus d’un an.

L’enjeu juridique dépasse les deux affaires. Il porte sur la question de savoir si les garanties de sécurité mises en avant par un exploitant de boutique créent une responsabilité lorsqu’une contrefaçon franchit sa validation. Apple affirme de son côté avoir empêché plus de 2,2 milliards de dollars de transactions frauduleuses en 2025. La procédure est en cours : aucune décision n’a été rendue à ce jour.

Aucune des mesures ci-dessous ne dépend de la boutique utilisée. C’est précisément ce qui les rend efficaces.

• Ne jamais saisir la phrase de récupération. Aucune application légitime ne la réclame, y compris pendant une restauration ou une mise à jour.
• Partir du site officiel de l’éditeur. Vérifier par quel canal il distribue son logiciel, puis suivre son lien, plutôt que de chercher dans une boutique.
• Contrôler le compte développeur. Le nom affiché doit correspondre à l’entreprise elle-même, pas à une entité inconnue.
• Se méfier d’une fiche récente pour un éditeur ancien : historique court, avis peu nombreux, absence de versions antérieures.
• Valider sur l’écran du boîtier. Une association de portefeuille passe par le branchement de l’appareil, jamais par une saisie de mots.
• Séparer les avoirs. Un portefeuille de conservation distinct de celui utilisé au quotidien limite l’ampleur d’une compromission.

Ce principe conserve sa priorité sur toute nouveauté logicielle : les fonctionnalités récentes ajoutées aux portefeuilles ne modifient en rien la règle. Le raisonnement rejoint celui des fraudes par autorisation démantelées par l’opération Atlantic et ses 20 000 victimes : dans les deux cas, la victime accomplit elle-même le geste qui la dépossède.