Le fabricant de portefeuille matériel Bitcoin Trezor a annoncé que son fournisseur de messagerie tiers avait été compromis lors d’une cyberattaque et que les attaquants utilisaient l’infrastructure pour envoyer de fausses alertes de sécurité aux utilisateurs.
La société a averti les utilisateurs que des e-mails portant notamment l’objet « Alerte de sécurité critique : vulnérabilité d’entropie STM32 » n’avaient pas été créés par Trezor et constituaient une tentative d’hameçonnage.
Trezor a également annoncé avoir désactivé le domaine utilisé dans l’attaque et enquêter sur la manière dont les attaquants ont obtenu accès à l’infrastructure de messagerie.
Que prétendait le faux e-mail ?
Le message frauduleux prétendait qu’une vulnérabilité critique de sécurité matérielle avait été découverte dans les microcontrôleurs STM32 utilisés dans les appareils Trezor.
L’e-mail prétendait que la vulnérabilité pourrait affaiblir le niveau d’aléa utilisé lors de la génération des phrases de récupération sur certains appareils et pourrait potentiellement mettre les actifs des utilisateurs en danger.
L’objectif apparent était de créer de l’anxiété chez les utilisateurs et de les diriger vers des liens frauduleux.
Trezor a indiqué que l’e-mail n’était pas légitime et a exhorté les utilisateurs à ne cliquer sur aucun lien.
Le vrai risque, c’est le hameçonnage, pas le matériel
Le point essentiel, ici, est que l’incident ne signifie pas que les appareils Trezor eux-mêmes aient été directement compromis.
Le fait que l’attaque se soit concentrée sur l’infrastructure e-mail tierce de l’entreprise indique que la menace principale pour les utilisateurs est le hameçonnage et l’ingénierie sociale.
L’objectif des attaquants est de donner l’impression qu’un véritable problème de sécurité existe, de persuader les utilisateurs d’agir et, au final, d’obtenir leurs phrases de récupération.
Si une phrase de récupération pour un portefeuille crypto est compromise, les attaquants peuvent contrôler les actifs de l’utilisateur sans accéder physiquement à l’appareil lui-même.
Les utilisateurs de BitBox ont aussi été ciblés
Il existe aussi des indications selon lesquelles l’incident n’aurait peut-être pas été limité à Trezor.
Nick Neuman, cofondateur et PDG de Casa, a déclaré que les utilisateurs de BitBox avaient eux aussi reçu des messages au contenu similaire.
Le chercheur en sécurité Bitcoin Jameson Lopp a évoqué la possibilité que les fournisseurs d’e-mail utilisés par Trezor et BitBox aient été ciblés par des attaquants.
Si cette hypothèse se confirme, cela pourrait indiquer que l’attaque n’était pas simplement une campagne visant un seul fabricant de portefeuille matériel, mais plutôt une attaque plus large ciblant l’infrastructure e-mail et marketing utilisée par des entreprises crypto.
Une vulnérabilité Coldcard transformée en opportunité
Le moment de l’attaque est également notable.
À la suite de l’apparition récente de vulnérabilités de sécurité touchant les portefeuilles matériels Coldcard, les inquiétudes des utilisateurs de crypto concernant la sécurité des portefeuilles matériels ont augmenté.
Les attaquants semblent avoir exploité cet environnement en transformant un véritable débat sur la sécurité en un avertissement frauduleux.
La méthode de base est assez simple : faire référence à un véritable problème de sécurité, créer un sentiment d’urgence et diriger l’utilisateur vers un lien frauduleux.
Trezor avait déjà mis en garde contre une violation de données
Ce n’est pas le seul risque de sécurité auquel Trezor a été confronté.
En août, l’entreprise a indiqué qu’une faille de sécurité chez le prestataire de logistique ShipMonk avait exposé des données appartenant à 80 689 clients.
Les informations exposées comprenaient, selon les rapports, des noms, des adresses e-mail, des numéros de téléphone et des adresses de livraison.
Bien que ces informations, à elles seules, ne puissent pas être utilisées pour prendre le contrôle d’un portefeuille, elles pourraient faciliter aux attaquants la création de messages de hameçonnage plus ciblés et convaincants.
Quelle pourrait être la plus grande erreur commise par les utilisateurs ?
La règle de sécurité la plus importante pour les utilisateurs de portefeuilles matériels reste inchangée :
Une phrase de récupération ne devrait jamais être fournie à un site web, à un formulaire par e-mail ou à une autre personne, en aucune circonstance.
Le fait qu’un message semble provenir d’une adresse officielle de l’entreprise ne suffit pas, à lui seul. Les attaquants peuvent compromettre des systèmes de messagerie tiers et créer des messages très convaincants.
Les messages qui demandent aux utilisateurs de ressaisir ou de vérifier leur phrase de récupération, ou de récupérer leur portefeuille via un lien, doivent être traités comme des signaux d’alerte sérieux.
Un nouvel échelon dans la sécurité crypto
L’incident de Trezor montre que les risques de sécurité dans l’industrie crypto ne se limitent pas à la blockchain ou aux vulnérabilités matérielles.
Les services de messagerie, les entreprises de logistique et d’autres fournisseurs de services tiers deviennent eux aussi des cibles pour les attaquants.
Par conséquent, se concentrer uniquement sur l’appareil du portefeuille peut ne plus suffire. La sécurité sur l’ensemble de la chaîne — des systèmes stockant les données des utilisateurs à l’infrastructure de communication des entreprises — est devenue essentielle.
L’incident de Trezor met aussi en évidence une réalité importante : dans les attaques visant les utilisateurs de crypto, créer la peur et un sentiment d’urgence est devenu une arme aussi puissante que la vulnérabilité technique.