Les arnaques aux cryptomonnaies ne se contentent plus d’internet : des escrocs envoient désormais des lettres physiques aux domiciles de leurs victimes, exploitant des fuites de données pour tenter de voler des portefeuilles numériques.
Depuis quelques années, les fraudes liées aux cryptomonnaies se multiplient à une vitesse alarmante, profitant de l’anonymat et de la complexité technique de cet univers encore jeune. Mais en 2025, un nouveau palier inquiétant a été franchi : des victimes reçoivent désormais des lettres imprimées, livrées directement dans leur boîte aux lettres, imitant des communications officielles de la société Ledger, leader des portefeuilles matériels. Cette méthode, qui rappelle les arnaques postales d’un autre temps, témoigne de la créativité sans cesse renouvelée des cybercriminels, et de l’urgence à mieux protéger les données personnelles. Au-delà du monde numérique, c’est notre sécurité physique qui est désormais menacée, soulignant les failles béantes dans la protection de la vie privée des utilisateurs.
L’image aurait pu prêter à sourire si elle n’était pas aussi inquiétante. Sur son compte X (anciennement Twitter), l’influenceur crypto Jacob Canfield a partagé des photos de lettres prétendument envoyées par Ledger. Ces documents, présentés avec un ton formel et un graphisme quasi professionnel, réclament la « validation obligatoire du portefeuille » à la suite d’une soi-disant « mise à jour de sécurité critique ». L’objectif est clair : inciter le destinataire à scanner un code QR et, dans un second temps, à renseigner sa phrase de récupération à 24 mots, clef absolue d’un portefeuille Ledger. Une fois cette phrase divulguée, les criminels n’ont plus qu’à transférer les fonds.
« Si quelqu’un vous demande votre phrase de récupération, c’est une arnaque », martèle Ledger.
La société française, pionnière de la sécurité crypto grâce à ses portefeuilles physiques réputés inviolables, a rapidement réagi sur les réseaux sociaux. Elle a confirmé l’existence de ces lettres frauduleuses et a réitéré qu’elle ne solliciterait jamais, sous aucune forme, la phrase de récupération de ses clients. Car contrairement à des comptes bancaires traditionnels, une fois les fonds détournés depuis un portefeuille crypto, il est impossible de revenir en arrière. Il n’existe ni institution centrale pour bloquer la transaction, ni recours juridique immédiat : la perte est définitive.
Si ces lettres ont pu être envoyées, c’est notamment en raison d’une faille ancienne mais dont les effets continuent de se faire sentir. En juillet 2020, une importante fuite de données a exposé près d’un million d’adresses e-mail de clients Ledger. Pire encore, les noms, adresses postales, numéros de téléphone et détails de commande de 9 500 clients ont été rendus publics. Un trésor pour des escrocs patients, capables de concevoir des campagnes d’hameçonnage ultra ciblées plusieurs années après les faits.
Une faille de 2020 alimente encore aujourd’hui des arnaques postales, prouvant que les données personnelles volées ne périment jamais pour les cybercriminels.
La nouveauté, cette fois, c’est le retour à un support physique, à rebours des arnaques classiques par mail ou message instantané. Cette stratégie exploite un biais psychologique puissant : une lettre tangible paraît plus authentique, plus officielle, surtout lorsqu’elle arrive dans un contexte de panique ou de méfiance généralisée envers les plateformes numériques. D’autant que ces lettres usurpent le ton rassurant et technique habituel de Ledger, avec des logos identiques et un vocabulaire spécifique destiné à piéger même les utilisateurs les plus aguerris.
L’affaire survient alors que le monde des cryptomonnaies traverse une période d’instabilité. Selon un rapport publié par la plateforme de bug bounty Immunefi, les pertes enregistrées dans l’écosystème crypto ont explosé au cours des quatre premiers mois de 2025, atteignant 1,7 milliard de dollars (environ 1,58 milliard d’euros). Ce montant est quatre fois supérieur aux 420 millions de dollars (environ 391 millions d’euros) perdus à la même période en 2024. Cette explosion s’explique en grande partie par le piratage spectaculaire de la plateforme Bybit, qui a à lui seul entraîné un préjudice estimé à 1,5 milliard de dollars (1,39 milliard d’euros).
Mais au-delà de ce cas emblématique, le mois d’avril 2025 a vu se multiplier les attaques. Quinze incidents majeurs ont été recensés, avec des pertes s’élevant à 92 millions de dollars (environ 85 millions d’euros), soit une hausse de 27 % par rapport à avril 2024 et plus du double de celles de mars 2025. La majorité de ces pertes sont dues à des piratages, et non à des escroqueries ou erreurs humaines, ce qui souligne le niveau de sophistication croissant des attaques.
En avril 2025, les attaques informatiques ont causé à elles seules plus de 92 millions de dollars de pertes dans le secteur crypto, un record alarmant.
Dans ce contexte, les lettres frauduleuses envoyées au nom de Ledger prennent une dimension encore plus menaçante. Elles représentent une nouvelle frontière dans l’ingénierie sociale, exploitant à la fois la confiance, la peur de la perte et le manque d’information. Car malgré l’expérience croissante des utilisateurs, beaucoup restent vulnérables à des sollicitations bien ficelées, d’autant plus quand elles s’adossent à des éléments tangibles et personnalisés.
Face à ces menaces, les recommandations des experts restent simples mais fondamentales. Ne jamais transmettre sa phrase de récupération, même en cas de doute. Vérifier directement les informations via les canaux officiels. Et surtout, se méfier de tout contact non sollicité, qu’il soit numérique ou physique. Car dans l’univers de la cryptomonnaie, chaque utilisateur est aussi son propre garant, son propre coffre-fort.
La question qui se pose aujourd’hui est de savoir si les régulateurs et les plateformes technologiques prendront la mesure de ce changement de paradigme. Car tant que les données personnelles continueront de circuler dans la nature, les escrocs disposeront d’un arsenal sans fin pour piéger leurs cibles, peu importe la forme que prennent leurs attaques. Le courrier frauduleux n’est qu’un nouvel avatar d’un problème bien plus vaste : la fragilité de notre identité numérique, et désormais physique.
