• Trezor a reçu le signalement d’un implant dans un Safe 5 le 28 octobre et a averti ses clients le 30 octobre.

• Le portefeuille suspect a été acheté en août 2026 sur Tokopedia, en Indonésie.

• Trezor a retiré CryptoBilis de son réseau de revendeurs le 9 octobre, après que Ledger a confirmé une altération.

Implant suspecté dans un Trezor Safe 5

Trezor a demandé aux clients ayant acheté un portefeuille matériel auprès de son ancien revendeur en Asie du Sud-Est, CryptoBilis, de transférer leurs fonds après le signalement d’un implant malveillant présumé dans un appareil Trezor Safe 5. Selon l’annonce publiée sur le blog de l’entreprise le 30 octobre, le signalement a été reçu le 28 octobre et concernait un portefeuille acheté en août sur Tokopedia, en Indonésie, auprès de CryptoBilis. L’acheteur a déclaré avoir découvert une carte électronique supplémentaire entre la carte principale de l’appareil et son écran, équipée d’un module cellulaire et d’une antenne. D’après cette description, le matériel pourrait lire tout ce qui s’affiche à l’écran, y compris la phrase de récupération générée lors de la configuration, puis la transmettre via un réseau mobile dès que l’appareil est branché sur une source d’alimentation. Toute personne en possession de cette phrase pourrait restaurer le portefeuille sur un autre appareil et le vider sans avoir besoin de l’appareil d’origine. Trezor a indiqué avoir examiné des photos et interrogé l’acheteur par visioconférence, mais ne pas encore avoir pu examiner physiquement l’appareil ; son équipe de sécurité organise une analyse en laboratoire. L’entreprise a estimé le signalement suffisamment crédible pour agir immédiatement. Il est conseillé à toute personne ayant acheté un modèle Trezor auprès de CryptoBilis depuis mars 2026 de transférer ses avoirs vers un nouveau portefeuille crypto doté d’une phrase de récupération entièrement nouvelle : importer une phrase compromise sur un autre appareil ne supprime aucun risque, car cette phrase est, dans les faits, une copie lisible de la clé privée du portefeuille. Les acheteurs n’ayant pas encore configuré l’appareil acheté ont été invités à s’arrêter et à ne jamais saisir une phrase existante. Aucun client n’a signalé de perte de fonds à ce jour. Trezor propose des appareils de remplacement ou des bons couvrant l’achat d’un nouvel appareil, demande aux acheteurs de conserver leur matériel et les avertit que des escrocs pourraient profiter de l’incident pour envoyer de faux courriels ou passer de faux appels. L’entreprise a également précisé que l’ouverture ou la pesée d’un portefeuille ne permet pas de détecter de manière fiable une altération. La réponse est soutenue par SEAL 911, le service d’urgence de la Security Alliance.

Mise à jour (30 oct. à 08:31 UTC) : des précisions supplémentaires issues du signalement expliquent comment la manipulation a été découverte : l’acheteur a remarqué une différence inhabituelle dans le poids de l’appareil et avait déjà transféré les fonds ailleurs avant de se rendre compte que le composant était suspect.

Des précisions supplémentaires issues du signalement expliquent comment la manipulation a été découverte : l’acheteur a remarqué une différence inhabituelle dans le poids de l’appareil et avait déjà transféré les fonds ailleurs avant de se rendre compte que le composant était suspect. Trezor, qui n’a pas pris possession de l’appareil, a déclaré que l’implant semble fonctionner d’une manière similaire au matériel découvert dans le cas confirmé de Ledger. L’entreprise a ajouté que personne n’a été identifié comme responsable et qu’elle n’a pas communiqué de comparaison entre les deux incidents dans l’attente de l’enquête. Le signalement a été transmis par le canal de divulgation responsable de l’entreprise. Pour les acheteurs concernés qui ne disposent pas d’un portefeuille matériel sécurisé, Trezor a également présenté le transfert temporaire vers un portefeuille logiciel ou une plateforme d’échange comme solution provisoire, et a rappelé que son équipe d’assistance ne demandera jamais de phrase de récupération.

Arkham retrace 95,35 millions de dollars de fonds dérobés

CryptoBilis était autrefois un revendeur agréé de Trezor et de son principal concurrent, Ledger, dans toute l’Asie du Sud-Est, et cette même boutique est au cœur d’un cas confirmé de manipulation. Le 9 octobre, Ledger a commencé à enquêter sur les pertes subies par des clients ayant acheté ses portefeuilles auprès de ce revendeur, puis a confirmé qu’un composant non autorisé installé dans les appareils concernés pouvait capturer les phrases de récupération affichées lors de la configuration et les exfiltrer via une connexion LTE. Cet implant fonctionnait indépendamment de la puce de sécurité de l’appareil, sans perturber la signature normale des transactions. Le même jour, Trezor a retiré CryptoBilis de son réseau de revendeurs et a demandé aux clients de soumettre leurs appareils à une inspection. Au 19 octobre, l’entreprise avait reçu quatre appareils, dont deux Safe 5, un Safe 7 et un Safe 3, sans qu’aucun ne présente de signe de manipulation physique. Le nouveau signalement concerne un autre Safe 5, qui ne faisait pas partie de ces examens. Les enquêteurs n’ont pas déterminé qui avait installé l’implant présumé ni si le même attaquant avait ciblé les deux marques. Les mouvements financiers liés à l’affaire Ledger sont importants : le 29 octobre, Arkham Intelligence a retracé 95,35 millions de dollars de fonds présumés dérobés sur 1 486 adresses entre le 7 et le 9 octobre. Environ 10 millions de dollars en USDT ont été gelés, tandis que les fonds volés continuent de circuler sur plusieurs réseaux blockchain. De son côté, la police de Singapour a signalé 3,5 millions de dollars singapouriens de pertes dans deux affaires impliquant des appareils Ledger manipulés, achetés auprès de détaillants locaux. Trezor a resserré sa liste de revendeurs agréés et collabore avec Ledger et d’autres parties dans le cadre de l’enquête. L’entreprise a indiqué n’avoir reçu jusqu’à présent aucun signalement concernant d’autres revendeurs. De plus amples informations seront communiquées une fois les résultats de laboratoire disponibles.

L’analyse de COINOTAG : les deux incidents visent le même point faible, le moment où une phrase de récupération est générée sur un appareil compromis, et non la puce de signature autour de laquelle l’appareil est conçu. Une porte dérobée dans la chaîne d’approvisionnement contourne toutes les protections intégrées à l’appareil, car le secret est transmis par l’écran. C’est pourquoi un portefeuille matériel acheté en bonne et due forme auprès d’un vendeur non vérifié peut tout de même faire défaut à son propriétaire. La décision de Trezor d’avertir ses clients avant la confirmation du laboratoire s’explique par l’historique commun des deux marques avec un revendeur impliqué dans un cas confirmé de manipulation de Ledger ; la date limite de mars 2026 est une mesure de précaution, et non la preuve que tous les appareils vendus sont concernés. Trois éléments seront déterminants : l’examen en laboratoire du Safe 5 signalé, la possibilité que les enquêteurs relient l’attaquant à l’affaire Ledger et l’éventuelle publication d’autres avis concernant des revendeurs régionaux. Les lecteurs qui évaluent leurs options de stockage peuvent d’abord consulter le fonctionnement des portefeuilles matériels avant de transférer leurs fonds (à 08:31 UTC).