3 appareils, 80 %, 86 millions de dollars : hier, Trezor a reconnu que 3 Safe 5 avaient été équipés de puces espionnes capables de voler les phrases de récupération — et que le même revendeur avait fait perdre plus de 86 millions de dollars aux utilisateurs de Ledger le mois dernier.
#Trezor确认3台Safe5设备遭恶意植入
Voici ce qui s’est passé : le 30 octobre, un utilisateur a signalé la présence d’une carte électronique inconnue dans son Safe 5. Trezor a enquêté pendant quinze jours et a publié ses conclusions hier : sur les 48 appareils soumis à des vérifications, 3 avaient bien été modifiés. Ils avaient tous été achetés entre le 20 août et le 23 septembre auprès du distributeur d’Asie du Sud-Est CryptoBilis, par l’intermédiaire de sa boutique en ligne et de ses boutiques sur Tokopedia et Shopee.
Cette carte était dissimulée entre la carte mère et l’écran. Équipée d’un module cellulaire et d’une antenne, elle était conçue pour copier tout ce qui s’affichait à l’écran. Dès la première apparition de la phrase de récupération à l’écran, elle avait déjà été copiée. Le firmware 2.13.1, publié le 11 novembre, empêche la carte de copier de nouvelles données, mais la mise à jour ne peut pas récupérer les phrases déjà dérobées. Pour reprendre les mots de Trezor : les sauvegardes déjà exposées restent vulnérables.
Trezor a donc pris trois mesures radicales : le firmware 2.13.1 bloque les modifications connues ; son réseau de revendeurs est réduit d’environ 80 %, pour ne conserver que ceux soumis aux exigences de conformité les plus strictes ; et les utilisateurs ayant acheté un appareil chez CryptoBilis après mars peuvent demander un remplacement. Mais le conseil le plus important vient de Trezor lui-même : si vous avez acheté un appareil chez CryptoBilis, transférez rapidement vos cryptomonnaies vers un portefeuille créé avec une nouvelle phrase de récupération.
À mon avis, le plus inquiétant dans cette affaire, ce n’est pas le chiffre 3, mais le chiffre 0 : à ce jour, aucun utilisateur de Trezor n’a signalé de perte d’argent, mais cela ne signifie pas que les appareils sont sûrs. Le vol d’une phrase de récupération passe inaperçu ; tant que le voleur n’agit pas, vous ne saurez jamais qu’il a déjà installé une porte dérobée dans votre portefeuille. Chez Ledger, le même revendeur a utilisé la même méthode, entraînant des pertes de 72 à 102 millions de dollars. Cette fois, Trezor a soulevé le couvercle avant que des fonds ne soient perdus. La sécurité d’un portefeuille matériel ne dépend pas du prix de sa puce, mais de la personne à qui vous l’achetez.
Trois vérifications à faire :
1. Avez-vous acheté votre portefeuille matériel sur le site officiel ou auprès d’un revendeur agréé ? Considérez tout achat auprès d’un vendeur tiers, dans le cadre d’une commande groupée ou à l’étranger comme suspect, jusqu’à preuve du contraire.
2. À la réception, vérifiez l’appareil : le scellé de l’emballage, la présence éventuelle de cartes supplémentaires et l’absence d’étapes de vérification à ignorer lors du premier démarrage. Au moindre doute, ne transférez pas encore vos cryptomonnaies dessus.
3. Si vous soupçonnez une manipulation de l’appareil, ne vous contentez pas de mettre le firmware à jour : créez un nouveau portefeuille avec une nouvelle phrase de récupération, transférez-y vos cryptomonnaies et considérez l’ancienne phrase comme définitivement compromise.
Au passage : aujourd’hui, notre propre tour de sélection des nouveaux projets n’a ajouté aucun projet rejeté ; le pool PO est ouvert, le cours actuel est environ deux fois supérieur au prix de lancement, et le seuil de prise de bénéfices n’a pas été atteint. Je continue de surveiller la situation.
Avez-vous acheté votre portefeuille matériel sur le site officiel ou dans une boutique tierce ? Avez-vous vérifié l’emballage et l’appareil à sa réception ?
Je suivrai de près les alertes de sécurité concernant les portefeuilles matériels et vous en informerai dès leur publication. Abonnez-vous : la prochaine fois qu’une alerte similaire paraîtra, vous n’aurez pas à déchiffrer vous-même le communiqué en anglais.
— Bao Bao
#Trezor确认3台Safe5设备遭恶意植入
Voici ce qui s’est passé : le 30 octobre, un utilisateur a signalé la présence d’une carte électronique inconnue dans son Safe 5. Trezor a enquêté pendant quinze jours et a publié ses conclusions hier : sur les 48 appareils soumis à des vérifications, 3 avaient bien été modifiés. Ils avaient tous été achetés entre le 20 août et le 23 septembre auprès du distributeur d’Asie du Sud-Est CryptoBilis, par l’intermédiaire de sa boutique en ligne et de ses boutiques sur Tokopedia et Shopee.
Cette carte était dissimulée entre la carte mère et l’écran. Équipée d’un module cellulaire et d’une antenne, elle était conçue pour copier tout ce qui s’affichait à l’écran. Dès la première apparition de la phrase de récupération à l’écran, elle avait déjà été copiée. Le firmware 2.13.1, publié le 11 novembre, empêche la carte de copier de nouvelles données, mais la mise à jour ne peut pas récupérer les phrases déjà dérobées. Pour reprendre les mots de Trezor : les sauvegardes déjà exposées restent vulnérables.
Trezor a donc pris trois mesures radicales : le firmware 2.13.1 bloque les modifications connues ; son réseau de revendeurs est réduit d’environ 80 %, pour ne conserver que ceux soumis aux exigences de conformité les plus strictes ; et les utilisateurs ayant acheté un appareil chez CryptoBilis après mars peuvent demander un remplacement. Mais le conseil le plus important vient de Trezor lui-même : si vous avez acheté un appareil chez CryptoBilis, transférez rapidement vos cryptomonnaies vers un portefeuille créé avec une nouvelle phrase de récupération.
À mon avis, le plus inquiétant dans cette affaire, ce n’est pas le chiffre 3, mais le chiffre 0 : à ce jour, aucun utilisateur de Trezor n’a signalé de perte d’argent, mais cela ne signifie pas que les appareils sont sûrs. Le vol d’une phrase de récupération passe inaperçu ; tant que le voleur n’agit pas, vous ne saurez jamais qu’il a déjà installé une porte dérobée dans votre portefeuille. Chez Ledger, le même revendeur a utilisé la même méthode, entraînant des pertes de 72 à 102 millions de dollars. Cette fois, Trezor a soulevé le couvercle avant que des fonds ne soient perdus. La sécurité d’un portefeuille matériel ne dépend pas du prix de sa puce, mais de la personne à qui vous l’achetez.
Trois vérifications à faire :
1. Avez-vous acheté votre portefeuille matériel sur le site officiel ou auprès d’un revendeur agréé ? Considérez tout achat auprès d’un vendeur tiers, dans le cadre d’une commande groupée ou à l’étranger comme suspect, jusqu’à preuve du contraire.
2. À la réception, vérifiez l’appareil : le scellé de l’emballage, la présence éventuelle de cartes supplémentaires et l’absence d’étapes de vérification à ignorer lors du premier démarrage. Au moindre doute, ne transférez pas encore vos cryptomonnaies dessus.
3. Si vous soupçonnez une manipulation de l’appareil, ne vous contentez pas de mettre le firmware à jour : créez un nouveau portefeuille avec une nouvelle phrase de récupération, transférez-y vos cryptomonnaies et considérez l’ancienne phrase comme définitivement compromise.
Au passage : aujourd’hui, notre propre tour de sélection des nouveaux projets n’a ajouté aucun projet rejeté ; le pool PO est ouvert, le cours actuel est environ deux fois supérieur au prix de lancement, et le seuil de prise de bénéfices n’a pas été atteint. Je continue de surveiller la situation.
Avez-vous acheté votre portefeuille matériel sur le site officiel ou dans une boutique tierce ? Avez-vous vérifié l’emballage et l’appareil à sa réception ?
Je suivrai de près les alertes de sécurité concernant les portefeuilles matériels et vous en informerai dès leur publication. Abonnez-vous : la prochaine fois qu’une alerte similaire paraîtra, vous n’aurez pas à déchiffrer vous-même le communiqué en anglais.
— Bao Bao
