Le 12 novembre, Trezor a publié les conclusions de son enquête en laboratoire. Le 30 octobre, nous avions déjà évoqué cette affaire : il ne s’agissait alors que des soupçons d’un acheteur indonésien, qui avait trouvé dans un Safe 5 une carte électronique supplémentaire équipée d’un module de téléphonie mobile. Le procédé n’avait pas été confirmé et personne n’avait signalé de perte de fonds. Les résultats sont désormais connus : la présence de cette puce implantée a été confirmée dans trois Safe 5. Tous avaient été achetés auprès du même revendeur, CryptoBilis, entre le 20 août et le 23 septembre de cette année, par différents canaux : dans sa propre boutique et sur ses boutiques Tokopedia et Shopee.

La puce était insérée entre la carte mère et l’écran. Le micrologiciel du portefeuille et sa puce de sécurité n’avaient pas été modifiés d’un seul mot : la vérification de l’authenticité ne pouvait donc pas la détecter. Elle surveillait l’écran et copiait la phrase de récupération affichée lors de la création du portefeuille, celle saisie lors de sa restauration, ainsi que les phrases secrètes affichées à l’écran. Elle chiffrait ensuite ces informations et les transmettait par réseau mobile au serveur des attaquants. Bonne nouvelle : à ce jour, les propriétaires de ces trois appareils n’ont signalé aucune perte de fonds. Trezor a également précisé que cette méthode était la même que celle utilisée dans les appareils Ledger concernés précédemment, mais adaptée à l’écran du Safe 5.

Ce qui fait mal dans cette affaire, c’est que la chaîne de confiance s’est rompue au maillon où elle aurait le moins dû se rompre. Beaucoup achètent un portefeuille matériel pour avoir l’esprit tranquille et partent du principe qu’un produit authentique ne pose aucun problème. Mais le problème venait du distributeur. Dès le 9 octobre, Trezor avait retiré CryptoBilis de sa liste de revendeurs agréés, mais les appareils vendus auparavant se trouvent encore chez de nombreux utilisateurs. Depuis l’alerte d’octobre, 48 acheteurs ont contacté Trezor pour faire examiner leur appareil ou envoyer des photos afin de le faire vérifier. Pour l’instant, seuls ces trois appareils ont été confirmés. Trezor a également réduit d’environ 80 % son réseau de revendeurs agréés ; ceux qui restent doivent désormais passer des contrôles plus stricts.

Le 11 novembre, Trezor a publié le firmware 2.13.1. Une fois installé, il empêche les puces concernées, déjà identifiées, de dérober de nouvelles informations. Mais cela suppose que votre phrase de récupération n’ait pas déjà été copiée. Si elle a été divulguée avant la mise à jour, elle reste entre les mains des pirates après celle-ci.

Voici trois choses à faire dès ce soir. Premièrement, si vous avez acheté un Trezor chez CryptoBilis — tous les achats effectués depuis mars de cette année sont concernés —, mettez d’abord le firmware à jour vers la version 2.13.1. Ensuite, créez un portefeuille avec une toute nouvelle phrase de récupération sur un appareil sain et transférez-y vos cryptos. Mettre à jour le firmware sans rien faire d’autre ne suffit pas. Restaurer l’ancienne phrase de récupération dans un nouveau portefeuille ne suffit pas non plus. Deuxièmement, avant d’acheter un portefeuille matériel, vérifiez sur le site officiel si le vendeur figure sur la liste des revendeurs agréés. Les prix bas des boutiques tierces et des plateformes de commerce en ligne peuvent simplement refléter les vérifications dont vous vous passez. Troisièmement, considérez comme des escrocs tous ceux qui vous demandent votre phrase de récupération sous prétexte de vous envoyer un nouvel appareil, de vous rembourser ou de vérifier votre appareil. Le service client officiel ne vous la demandera jamais.

Vous avez acheté votre portefeuille matériel sur le site officiel ou dans une boutique tierce ?

#Trezor #硬件钱包 #钱包安全 #AntiArnaque

— Xiaokai, le petit investisseur du Web3

Ce contenu reflète uniquement une opinion personnelle et ne constitue pas un conseil en investissement. Faites vos propres recherches.