Le coffre-fort est inviolable, mais on peut toujours demander gentiment la combinaison. C’est en substance la stratégie d’OkoBot, un framework malveillant qui injecte de fausses pages de récupération dans les applications officielles de Ledger et Trezor pour soutirer aux victimes leur seed phrase sous Windows. Selon Kaspersky, la campagne a touché des centaines d’utilisateurs dans plus de 25 pays, avec des cas au Brésil, au Vietnam, au Canada, au Mexique et en Turquie.
Le principe ne casse rien : il triche. Le malware ne s’attaque pas au chiffrement des portefeuilles matériels (peine perdue), il imite leur interface pour que la victime livre elle-même les 12 ou 24 mots qui donnent accès aux fonds.
Points clés
- OkoBot injecte de fausses pages de récupération dans Ledger Live, Ledger Wallet et Trezor Suite pour voler les seed phrases sous Windows
- La campagne, active depuis plus d’un an, a touché des centaines d’utilisateurs dans plus de 25 pays selon Kaspersky
- Le framework modulaire compte plus de 20 composants, dont le module OkoSpyware et le stealer Rilide
- Aucune procédure légitime ne demande de saisir sa seed phrase ailleurs que sur l’appareil lui-même
Comment OkoBot s’infiltre
Le rapport décrit plusieurs vecteurs d’infection. Le plus voyant repose sur la technique ClickFix, un grand classique de l’ingénierie sociale où l’utilisateur est amené à exécuter lui-même le code malveillant. Un autre passe par GitHub, où des logiciels maquillés en outils légitimes servent d’appât.
Une fois installé, le framework surveille le système et guette les applications liées aux wallets matériels. Le composant baptisé SeedHunter traque les processus actifs, injecte son code dans Trezor Suite, Ledger Wallet ou Ledger Live, puis affiche une fausse page de récupération taillée sur mesure selon le portefeuille détecté. Les données saisies filent ensuite vers un serveur de commande et contrôle.
Une campagne active depuis plus d’un an
La société de sécurité affirme que l’opération reste active à la mi-juillet 2026 et qu’elle sévit depuis plus d’un an. Les victimes se comptent par centaines, réparties sur plus de 25 pays.
Le rappel de base tient en une phrase que Ledger et Trezor répètent jusqu’à l’épuisement : aucune procédure légitime ne demande de saisir la seed phrase sur un site, dans une pop-up ou dans une application. La restauration se fait sur l’appareil, un point c’est tout. Toute interface qui réclame ces mots ailleurs est un piège.
Bien plus qu’un simple voleur de mots de passe
OkoBot est un framework modulaire à plus de 20 composants. Au-delà du vol de seed phrases, il collecte des fichiers locaux, télécharge des extensions de navigateur, enregistre des vidéos et vole des identifiants. Le rapport mentionne aussi un module nommé OkoSpyware, chargé de surveiller les navigateurs basés sur Chromium et de déployer d’autres charges utiles, dont le stealer Rilide.
Pour les détenteurs de Ledger et Trezor, la morale est brutale et sans appel : une seed phrase saisie dans une fausse interface, et le portefeuille change de propriétaire. Aucun correctif côté éditeurs n’est mentionné à cette heure, et pour cause : la faille n’est pas dans le matériel, elle est entre la chaise et le clavier.
