En 2023, Kaspersky a révélé une affaire dont, à mon avis, toute personne qui achète un portefeuille matériel devrait être au courant : l’appareil n’était pas connecté à un ordinateur, et pourtant les cryptomonnaies ont été transférées. Le problème existait avant même son achat.
La victime avait acheté un Trezor Model T sur un site de petites annonces d’occasion. Les hologrammes antifalsification sur la boîte et l’appareil étaient intacts. Ce n’est qu’en démontant l’appareil que Kaspersky a découvert que le boîtier était collé avec de la colle et du ruban adhésif double face, que la puce principale avait été dessoudée puis remplacée, et que la version du programme d’amorçage n’avait jamais été publiée par le fabricant.
Le firmware modifié faisait trois choses : il désactivait la vérification de la signature, de sorte qu’aucune alerte ne s’affichait au démarrage ; lors de l’initialisation ou de la réinitialisation, il remplaçait la phrase de récupération générée aléatoirement par l’une des 20 phrases préenregistrées dans le firmware ; et si un mot de passe supplémentaire était défini, il n’en prenait en compte que le premier caractère. La réinitialisation ne permettait donc pas d’échapper à ces 20 phrases, et les attaquants connaissaient la clé privée dès le départ. L’historique des transactions montre qu’ils ont attendu un mois avant de passer à l’action.
Trezor a confirmé dans sa réponse qu’il s’agissait d’une modification effectuée par un tiers et que cette attaque de la chaîne d’approvisionnement avait eu lieu plus d’un an avant la publication de l’article. Il ne s’agissait ni d’un piratage à distance d’un Trezor authentique ni d’une nouvelle vulnérabilité.
Je ne me fierais pas uniquement à l’autocollant anti-contrefaçon pour juger de la sécurité : s’il est intact, cela ne signifie pas que la puce et le micrologiciel à l’intérieur n’ont pas été modifiés. La documentation officielle de Trezor précise que ses appareils sont expédiés sans micrologiciel ni phrase de récupération par défaut. Si un appareil neuf est déjà équipé d’un micrologiciel, il faut contacter immédiatement le service client officiel. C’est la règle de fabrication de Trezor ; elle ne s’applique pas forcément aux autres marques, il faut consulter les indications officielles de chacune.
Les principales recommandations de Kaspersky et de Trezor sont d’acheter par les canaux officiels et de ne pas ignorer les avertissements affichés sur l’appareil. Personnellement, je n’utiliserais pas un portefeuille matériel d’occasion provenant d’une source inconnue pour y stocker de l’argent.