Comment la fraude a opéré
Le piège reposait sur une mécanique simple mais dévastatrice : lors de la configuration, l'application invitait l'utilisateur à saisir sa phrase de récupération, ce fameux code de 12 à 24 mots qui donne un accès total au portefeuille. Une fois la seed phrase transmise, les fonds étaient vidés en quelques secondes, sur cinq blockchains, Bitcoin, Ethereum, Solana, Tron et XRP. La campagne a sévi du 7 au 13 avril 2026, faisant plus de cinquante victimes. Parmi elles, trois ont perdu des sommes à sept chiffres : 3,23 millions de dollars en USDT le 9 avril, 2,08 millions en USDC le 11 avril, et 1,95 million en BTC et ETH le 8 avril.
Ce type d'escroquerie numérique aux conséquences financières lourdes n'est pas sans rappeler d'autres faits divers récents, comme le braquage aux Champs-Élysées où 2 millions d'euros de bijoux avaient été dérobés en plein jour, preuve que les malfaiteurs s'adaptent aux cibles les plus lucratives.
G. Love, victime emblématique, et la réponse d'Apple
C'est le musicien américain Garrett Dutton, leader du groupe G. Love & Special Sauce, qui a mis l'affaire en lumière. Sur X, le 11 avril 2026, il raconte avoir téléchargé l'app en changeant d'ordinateur et avoir saisi sa seed phrase lors de la configuration. Résultat : 5,92 bitcoins, son "fonds de retraite" accumulé en dix ans, volatilisés en un instant. "Tous mes BTC envolés en un instant", écrit-il. C'est ensuite l'enquêteur blockchain ZachXBT qui a remonté les transactions et publié son analyse complète le 14 avril, révélant l'ampleur réelle du préjudice.
Les fonds volés ont transité par plus de 150 adresses liées à la plateforme KuCoin, puis blanchis via AudiA6, un service de mixage centralisé connu pour brouiller les pistes. Apple a supprimé l'application et suspendu le compte du développeur pour pratiques de "bait-and-switch", violation des règles de la boutique. La firme a précisé qu'elle avait rejeté plus de 320 000 soumissions frauduleuses en 2024 et bloqué 37 000 produits potentiellement frauduleux. Ledger, de son côté, rappelle qu'il ne distribue pas son application macOS via l'App Store : le seul téléchargement légitime se fait sur ledger.com.
L'incident alimente désormais des discussions autour d'un possible recours collectif contre Apple pour défaillance de son processus de vérification. Dans un registre différent, les vols organisés à grande échelle prennent aujourd'hui des formes très variées, du physique au numérique. La règle d'or reste immuable : ne jamais saisir sa seed phrase dans une application, même celle qui ressemble trait pour trait à l'originale.