Posséder un portefeuille matériel est censé signifier que la phrase de récupération ne touche jamais un appareil connecté à Internet. Les attaquants se sont directement adaptés à cette hypothèse, en bâtissant toute une catégorie d’arnaque autour du seul moment où un possesseur de portefeuille matériel s’attend légitimement à un message d’apparence officielle : une mise à jour du micrologiciel.
Comment le faux message atteint réellement quelqu’un
Ces campagnes arrivent généralement par l’un de trois canaux. Un e-mail, parfois envoyé à une adresse récupérée lors d’une fuite de données antérieure impliquant un revendeur de portefeuilles matériels, affirme qu’une mise à jour de sécurité critique est requise et renvoie vers une page qui imite étroitement le vrai site du fabricant. Une fausse application, distribuée via un lien de téléchargement non officiel ou parvenant parfois à passer la modération d’une boutique d’applications tierce, se présente comme le logiciel compagnon du fabricant. Ou encore, un site usurpé, atteint via une publicité de recherche payante ou un domaine typosquatté ne différant que de quelques caractères du vrai, fait parcourir à un visiteur un faux « assistant de mise à jour ». Chaque version converge vers le même objectif : amener la victime soit à saisir sa phrase de récupération dans un formulaire web sous prétexte de « vérifier » le portefeuille avant la mise à jour, soit à installer un fichier de micrologiciel modifié qui expose silencieusement les clés privées une fois installé sur l’appareil réel.
Pourquoi cela fonctionne même sur des utilisateurs prudents
L’approche exploite spécifiquement un comportement soucieux de la sécurité plutôt que la négligence. Une personne qui sait déjà qu’il ne faut jamais stocker une phrase de récupération numériquement peut néanmoins se laisser convaincre de la saisir « juste cette fois » si la demande est présentée comme une étape de sécurité obligatoire plutôt que comme une transaction normale. L’urgence est généralement fabriquée, avertissements au sujet d’une vulnérabilité active, échéance de mise en conformité, ou affirmation que les fonds sont en danger tant que la mise à jour n’est pas terminée, ce qui pousse à décider rapidement plutôt qu’à vérifier soigneusement.
Aucune mise à jour légitime d’un portefeuille matériel, quel qu’en soit le fabricant, n’exige jamais de saisir une phrase de récupération dans un site web, une application, ou tout autre champ numérique. Un message demandant la phrase de récupération pour « confirmer », « vérifier » ou « restaurer » un portefeuille avant de poursuivre une mise à jour est le signe le plus clair, à lui seul, que la mise à jour est frauduleuse.
Comment vérifier qu’une mise à jour est authentique
- Ne suivez jamais un lien de mise à jour du micrologiciel provenant d’un e-mail, d’un SMS, ou d’une publicité de recherche. Accédez au site du fabricant en tapant directement l’adresse ou en utilisant un signet enregistré avant l’apparition du message de mise à jour.
- Vérifiez que le message de mise à jour apparaît bien sur l’écran de l’appareil matériel lui-même, et pas seulement dans un onglet de navigateur ou une fenêtre d’application compagnon. Les véritables mises à jour du micrologiciel exigent une confirmation physique sur l’appareil lui-même.
- Comparez la mise à jour aux notes de version officielles ou au canal d’assistance du fabricant avant de l’installer, et considérez comme un signal d’alerte tout numéro de version ou toute date de publication qui ne correspond pas aux informations publiées.
- Vérifiez que l’appareil affiche l’étape de vérification cryptographique standard du fabricant pendant la mise à jour ; la plupart des portefeuilles matériels légitimes vérifient automatiquement la signature numérique du micrologiciel et refusent d’installer tout élément non signé ou altéré.
- En cas de doute, déconnectez l’appareil et contactez directement le canal d’assistance officiel du fabricant avant de poursuivre, plutôt que de continuer un processus de mise à jour qui semble précipité ou inhabituel.
Ce schéma plus général mérite d’être retenu même en dehors du seul cas des micrologiciels : toute demande de saisir une phrase de récupération dans un écran, aussi officielle que paraisse l’interface qui l’entoure, est le signal qu’il faut s’arrêter et vérifier de façon indépendante avant de faire quoi que ce soit d’autre.