Piratage de Ledger : la justice française a extradé un suspect

Le site spécialisé dans les cryptomonnaies The Big Whale a révélé, le 12 mars 2023, l’extradition en France d’un suspect du vol de données subi par Ledger en 2020. Davide M., un citoyen portugais de 28 ans, a été arrêté dans son pays, puis remis aux autorités françaises à l’automne 2022.

Actuellement en détention, il est mis en examen pour six infractions, dont « escroquerie en bande organisée », « association de malfaiteurs » et quatre infractions de piratage informatique.

En avril et juin 2020, Ledger, le spécialiste français des coffres-forts crypto, est victime d’un vol de données concernant 292 000 clients. Mises en vente sur le darknet, les données sont ensuite utilisées dans plusieurs campagnes de hameçonnage très élaborées. L’une d’entre elle impliquait par exemple l’envoi de fausses clés Ledger par La Poste.

En janvier 2021, un internaute repère, sur des forums Telegram, une personne qui se propose de vendre la base de données clients de Ledger. Rapidement identifié par le FBI, cet Autrichien de 22 ans est arrêté aux États-Unis, où il séjournait.

L’enquête établit ensuite qu’il avait mis la main sur les données de Ledger en soudoyant, avec un complice portugais, un sous-traitant philippin de Shopify. Le groupe canadien est en effet le partenaire de Ledger pour le e-commerce : Shopify avait d’ailleurs reconnu, en 2020, sa responsabilité dans la fuite de données.

La justice américaine a déjà jugé, le 25 février 2022, ce cybercriminel autrichien, et l’a reconnu coupable de fraude électronique. Il a été condamné à trois ans de liberté surveillée, et a dû verser à Shopify une indemnisation de 52 000 dollars.

Ses déclarations ont par ailleurs permis à la justice française d’identifier son complice comme étant Davide M. Ce dernier a vu sa demande de libération rejetée en décembre 2022. Il attend donc son procès en prison, l’affaire étant en cours d’instruction par le tribunal de Paris.