Hardware wallets d'occasion : l'arnaque de la seed phrase piégée

Un Ledger Nano S acheté d’occasion sur une marketplace, livré avec sa boîte d’origine, son câble, et une feuille de récupération remplie d’une écriture soignée : rien ne trahit le piège. Pourtant, selon Ledger lui-même, ce scénario est documenté depuis plusieurs années. L’escroc a initialisé l’appareil, copié les 24 mots générés, réinitialisé le dispositif, puis revendu le tout en conservant la seed phrase, clé maîtresse du portefeuille. La victime dépose ses crypto, et attend. L’argent disparaît en quelques heures. Selon Chainalysis, les pertes liées aux arnaques crypto ont atteint 14 milliards de dollars on-chain en 2025, en hausse de 17 % sur un an. Les hardware wallets d’occasion constituent l’un des vecteurs les moins médiatisés, et pourtant l’un des plus dévastateurs pour les particuliers.

Au programme

• La mécanique de l’arnaque “pre-seeded” : comment un escroc piège un appareil neuf ou reconditionné en 3 étapes (Ledger, avertissement officiel)
• Les 5 signaux d’alerte à repérer à l’ouverture de la boîte, avant de déposer le moindre satoshi
• Les règles d’achat sûr et les vérifications techniques à effectuer sur tout appareil, neuf ou d’occasion

Comment fonctionne l’arnaque du wallet “pre-seeded” ?

Un vendeur particulier sur une marketplace revend un Ledger Nano S déjà initialisé, en fournissant à l’acheteur l’appareil ainsi que les 24 mots de récupération. Les fonds gérés via le dispositif sont alors accessibles non seulement par l’acheteur, mais aussi par toute personne qui a initialisé l’appareil et conservé une copie des mots. Voilà, en une phrase, la mécanique complète.

Les escrocs achètent des hardware wallets légitimes, altèrent le contenu de l’emballage, et insèrent de fausses instructions ou des cartes de récupération. L’appareil est ensuite reconditionné et vendu sur des places de marché tierces. Les victimes croient configurer un nouveau portefeuille, mais accèdent en réalité à un compte déjà contrôlé par l’attaquant.

La variante la plus insidieuse ne touche pas le firmware. Une arnaque “seed phrase” est une attaque où les utilisateurs sont amenés à utiliser une phrase de récupération pré-générée contrôlée par un attaquant, lui donnant un accès total au portefeuille. Cela passe souvent par des hardware wallets altérés ou de fausses instructions de configuration. L’appareil fonctionne parfaitement. Pas de message d’erreur, pas de comportement bizarre. La trahison est invisible jusqu’au vidage du compte.

Quels sont les 5 signaux d’alerte à repérer à l’ouverture ?

La documentation des hardware wallets Ledger ne contient aucun mot de seed ni code PIN pré-existant. Si un utilisateur reçoit un appareil avec des mots de récupération déjà inscrits ou un code PIN fourni, il ne doit pas utiliser l’appareil tel quel. Ce principe vaut pour tous les fabricants sérieux.

Voici les 5 signaux qui doivent déclencher un arrêt immédiat :

1. Une feuille de récupération pré-remplie dans la boîte. Si la boîte contient une carte indiquant de “saisir” des mots secrets, arrêtez immédiatement. Ce n’est pas un raccourci de configuration. C’est l’attaque. Les appareils légitimes génèrent une nouvelle seed phrase directement sur l’écran du dispositif lors de la configuration.

2. Un emballage descellé ou re-scellé, même proprement. Des traces de colle, un hologramme qui se décolle, un film plastique trop lisse : toute anomalie sur le packaging est un signal.

3. Un appareil déjà initialisé, c’est-à-dire qui demande directement le PIN sans lancer la séquence de premier démarrage. Si l’appareil a déjà été utilisé par quelqu’un d’autre, cela est un signal d’alerte majeur.

4. Des instructions de configuration “alternatives” incluses dans la boîte, demandant de télécharger un logiciel depuis un lien imprimé sur un flyer ou un QR code.

5. Un prix anormalement bas. Les dispositifs contrefaits sont vendus à des prix très réduits, souvent 30 à 60 % moins cher que les produits Ledger officiels, ce qui les rend particulièrement attractifs pour les nouveaux utilisateurs et les acheteurs attentifs au prix.

Pourquoi les contrefaçons matérielles vont plus loin que le simple reconditionné ?

L’arnaque de la seed pré-configurée existe depuis des années. Mais les chercheurs en sécurité ont récemment documenté une version bien plus sophistiquée. Après avoir ouvert le boîtier d’un faux Ledger, un chercheur a constaté que toutes les marquages des puces avaient été effacées, mais a fini par identifier le composant central comme un système-sur-puce ESP32-S3. Le dispositif usurpait son identification, se présentant comme un “Nano S+ 7704” de l’usine Ledger, avec numéro de série. À l’examen du firmware, le chercheur a retrouvé son PIN de test et les phrases de récupération de 2 portefeuilles, ainsi que des identifiants codés en dur vers des serveurs de commande et contrôle qui aspiraient les données.

Cette arnaque est décrite comme une opération de hameçonnage combinant du matériel contrefait, des applications malveillantes et une infrastructure externe. L’opération inclut des dispositifs avec des puces ESP32-S3, des applications trojannisées pour Android et d’autres plateformes, ainsi que des serveurs de commande et contrôle utilisés pour l’exfiltration de données.

Ce type d’appareil passe le test visuel haut la main. Le faux dispositif stockait des informations sensibles comme les PIN et les phrases de récupération en clair. L’impact de l’arnaque peut être étendu, car le portefeuille contrefait a été acheté au prix normal sur une grande marketplace chinoise, semblant presque impossible à distinguer d’un authentique. Pour les acheteurs qui se tournent vers des plateformes comme AliExpress, Vinted ou des groupes Facebook de revente, le risque est réel et documenté.

Lecture CryptoActu L’arnaque du wallet pre-seeded incarne une réalité contre-intuitive : le vecteur d’attaque n’est pas le réseau, ni le protocole, ni le smart contract. C’est la boîte en carton. Tant que les clés privées restent accessibles à quelqu’un d’autre que l’utilisateur, le hardware wallet le plus sophistiqué du monde ne protège rien. Trois des 5 attaques les plus documentées sur hardware wallets depuis 2021 partagent ce même vecteur de confiance naïve dans l’emballage ou le vendeur.

Comment vérifier l’authenticité d’un hardware wallet avant de l’utiliser ?

La règle absolue est simple : quoi qu’il arrive et quelle que soit la personne en face, il n’existe aucune circonstance qui justifie de communiquer sa phrase de 24 mots. Toute tentative d’obtenir cette information secrète est une tentative de vol.

Mais la vigilance va plus loin que la seed phrase. Voici les vérifications techniques à effectuer systématiquement :

• Genuine Check Ledger : lancer immédiatement le Genuine Check après le déballage en utilisant l’application Ledger Live officielle. Cette vérification cryptographique certifie que le secure element est bien d’origine Ledger. Un appareil contrefait avec un ESP32-S3 échoue à cette vérification.
• Trezor Suite : télécharger le logiciel exclusivement depuis trezor.io/trezor-suite ou la page des releases officielles GitHub du projet, jamais depuis un lien fourni dans la boîte.
• Vérifier le comportement au premier démarrage : un Ledger neuf ou réinitialisé affiche un écran de bienvenue, puis lance la génération de seed. Il ne demande jamais un PIN existant ni une seed à saisir.
• Contrôler l’intégrité du firmware : vérifier la version du firmware et surveiller tout comportement Wi-Fi ou Bluetooth inattendu. Un hardware wallet légitime n’a aucune raison d’émettre un signal sans fil pendant la configuration.
• Ne jamais saisir sa seed sur un ordinateur ou un site web : les fabricants de hardware wallets comme Trezor et Ledger ne demanderont jamais aux utilisateurs de saisir, scanner, télécharger ou partager leur phrase de récupération. Les phrases de récupération ne doivent être saisies que directement sur le hardware wallet lors de la restauration d’un portefeuille, jamais sur un ordinateur, un appareil mobile ou un site web.

Pour les portefeuilles multi-signatures, la surface d’attaque est encore réduite : même si une seed est compromise, les fonds restent inaccessibles sans les autres signataires.

Où acheter un hardware wallet sans risque ?

L’équipe officielle de sécurité de Ledger recommande d’acheter uniquement depuis des sources officielles : le site de Ledger, les revendeurs agréés ou des détaillants de confiance comme Amazon (vendeur vérifié). Ne jamais acheter depuis des marketplaces tierces si le prix semble trop beau pour être vrai.

Le comparatif Ledger, Trezor, SafePal recense les revendeurs officiels agréés pour la France. Pour Ledger, la liste est disponible directement sur ledger.com. Pour Trezor, le réseau de revendeurs autorisés est publié sur trezor.io. L’endroit où on achète un appareil importe autant que la façon dont on l’utilise. Les unités contrefaites ou altérées peuvent sembler neuves, mais de petites modifications comme un packaging altéré ou des cartes pré-remplies peuvent tout compromettre. Des escrocs ont vendu des appareils avec une carte de récupération pré-configurée et des instructions pour utiliser ces mots ; c’est une arnaque connue sous le nom de “pre-seed device scam”.

Le marché de l’occasion n’est pas recommandé pour les hardware wallets, même si le vendeur semble de bonne foi. La revente d’un appareil déjà initialisé implique de faire confiance à un inconnu sur la gestion d’un secret irréversible. Pour le test complet Ledger Nano X comme pour le test Trezor, les deux fabricants rappellent explicitement que leurs appareils ne doivent jamais être achetés d’occasion si l’acheteur ne peut pas réinitialiser l’appareil lui-même dès la réception : ce qui annule de toute façon l’intérêt d’un achat d’occasion.

Questions fréquentes

Qu’est-ce qu’un wallet “pre-seeded” ?

Un wallet “pre-seeded” est un appareil vendu avec une phrase de récupération pré-générée contrôlée par un attaquant, lui donnant un accès total au portefeuille. Le vendeur conserve une copie des 24 mots. Dès que la victime dépose des fonds, ils peuvent être vidés à n’importe quel moment, parfois des semaines ou des mois plus tard pour éviter la traçabilité. Voir notre guide sur la seed phrase pour comprendre pourquoi cette clé est absolument irréversible.

Comment vérifier qu’un Ledger est authentique à la réception ?

Trois vérifications s’imposent dès l’ouverture : lancer le Genuine Check via Ledger Live (l’app officielle téléchargée depuis ledger.com/ledger-live) qui vérifie cryptographiquement le secure element, contrôler que l’appareil démarre sur un écran de bienvenue sans PIN pré-existant, et s’assurer qu’aucun document dans la boîte ne comporte de mots de récupération pré-imprimés. Il n’existe aucune circonstance qui justifie de communiquer sa phrase de 24 mots : toute demande en ce sens est une tentative de vol.

Peut-on acheter un hardware wallet d’occasion en toute sécurité ?

Techniquement, oui : à condition de réinitialiser l’appareil soi-même dès la réception pour générer une nouvelle seed phrase, et de vérifier l’authenticité du firmware via les outils officiels du fabricant. En pratique, cela suppose d’être suffisamment technique pour effectuer ces vérifications, et de savoir identifier une altération matérielle discrète. Pour un débutant, l’achat d’occasion présente un risque que notre comparatif des hardware wallets déconseille formellement.

Que faire si l’on soupçonne avoir reçu un appareil piégé ?

Ne déposer aucun fond. Ne pas saisir la seed fournie dans la boîte. Contacter immédiatement le support officiel du fabricant (Ledger via ledger.com/support, Trezor via trezor.io/support). Ledger recommande de contacter les autorités locales pour déposer une plainte et envisage toutes les voies légales pour poursuivre les escrocs. Déclarer également l’incident à la plateforme de revente utilisée pour accélérer le retrait de l’annonce et protéger d’autres acheteurs potentiels.

À retenir : un hardware wallet d’occasion peut devenir un piège parfait si la seed a été copiée avant la revente : aucun signe visuel ne trahit la compromission. La règle est sans exception : acheter uniquement via les canaux officiels des fabricants, lancer le Genuine Check à l’ouverture, et ne jamais utiliser une phrase de récupération fournie par un tiers. La prochaine frontière à surveiller : les contrefaçons matérielles avec puces ESP32-S3, aujourd’hui documentées et de plus en plus difficiles à distinguer à l’œil nu.

Retrouvez toutes nos investigations sur notre page enquêtes.

Voici les faits vérifiés qui ancrent chaque section clé de cette enquête :

Ledger a documenté officiellement le cas d'un Nano S d'occasion revendu avec ses 24 mots : les fonds étaient accessibles à la fois par l'acheteur ET par le vendeur initial qui avait conservé une copie de la seed.

En avril 2026, un chercheur brésilien a ouvert un faux Ledger acheté sur marketplace et trouvé une puce ESP32-S3 avec son PIN de test et les phrases de récupération de 2 portefeuilles stockées en clair, plus des identifiants vers des serveurs de commande et contrôle.

Les faux appareils sont vendus 30 à 60 % moins cher que les produits officiels : signal d'alerte numéro un pour les acheteurs.

Chainalysis a enregistré au moins 14 milliards de dollars de pertes liées aux arnaques crypto on-chain en 2025, chiffre qui pourrait dépasser 17 milliards au fur et à mesure de l'identification de nouvelles adresses illicites.