Veille menaces / Attaque
Trezor : des implants espions trouvés dans des portefeuilles Safe 5 vendus par un ancien revendeur
Trezor confirme que trois portefeuilles matériels Trezor Safe 5 achetés chez CryptoBilis, un ancien revendeur agréé en Asie du Sud-Est, contenaient une carte électronique supplémentaire qui copie ce qu'affiche l'écran, y compris les mots de récupération et les phrases secrètes, puis l'envoie par le réseau mobile vers un serveur de l'attaquant. Trezor a publié le 11 novembre le firmware 2.13.1 pour empêcher ces implants de capter quoi que ce soit, a réduit son réseau de revendeurs d'environ 80 % et demande aux acheteurs de CryptoBilis de transférer leurs fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération.
- Secteur
- Applis et appareils grand public
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- Trezor Safe 5, CryptoBilis
- Trezor Safe 5 confirmés avec un implant, sur 48 clients ayant contacté Trezor[3]
- 3
- Comment c'est arrivé
- Une manipulation physique avant que l'acheteur ne reçoive l'appareil : Trezor décrit l'implant comme une carte électronique supplémentaire placée entre la carte principale du Trezor Safe 5 et son écran. Il se contente d'écouter, copie ce qu'affiche l'écran et ne modifie jamais le firmware ni l'élément sécurisé. Il chiffre ce qu'il capte et l'envoie par le réseau mobile, en réessayant jusqu'à y parvenir. Les appareils étaient vendus par CryptoBilis, un ancien revendeur agréé en Asie du Sud-Est, via ses boutiques Tokopedia et Shopee et en vente directe. Trezor n'a pas dit comment les appareils piégés sont arrivés dans le stock du revendeur.[1][2][3] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Ce qu'affiche l'écran de l'appareil : les mots de récupération lors de la création d'une sauvegarde ou de la restauration d'un portefeuille, et les phrases secrètes affichées à l'écran. Selon Trezor, aucun client n'a signalé de perte de fonds ; l'entreprise ne voit pas les soldes, car les portefeuilles sont en auto-conservation.[1][3] Vérifié le 14 nov. 2026
- Qui est touché
- Les acheteurs de Trezor Safe 5 chez CryptoBilis. Trois appareils piégés sont confirmés, achetés entre le 20 août et le 23 septembre 2026 : un examiné dans le laboratoire de Trezor, deux identifiés à partir de photos de leurs propriétaires. 48 clients ont contacté Trezor, qui vérifie leurs appareils. Trezor indique n'avoir trouvé aucun implant dans les appareils d'autres revendeurs ni dans d'autres modèles Trezor, et propose un remplacement à toute personne ayant acheté chez CryptoBilis à partir de mars 2026.[1][3] Vérifié le 14 nov. 2026
- Acteur
- Non attribué. Inconnu. Trezor dit ne pas savoir qui est derrière l'attaque, et indique que l'implant fonctionne comme ceux trouvés dans des appareils Ledger.
Chronologie
- Ledger commence à enquêter sur des pertes de fonds chez des clients de CryptoBilis, et Trezor retire le même jour son agrément au revendeur, selon Trezor. [2]
- L'équipe sécurité de Trezor reçoit le signalement d'un implant dans un Trezor Safe 5 acheté chez CryptoBilis en août 2026. L'acheteur, un client en Indonésie, a trouvé une carte électronique supplémentaire. [2]
- Trezor publie un premier avis et juge le signalement crédible avant même d'avoir reçu l'appareil. L'auteur du signalement avait déjà transféré ses fonds hors de l'appareil. [2]
- Trezor publie le firmware 2.13.1, qui selon l'entreprise empêche les implants trouvés jusqu'ici de capter quoi que ce soit et les rend inutiles. Il ne protège pas une phrase de récupération captée avant la mise à jour. [3]
- Trezor publie son enquête : trois appareils confirmés, 48 clients en contact, aucun implant trouvé ailleurs, et un réseau de revendeurs réduit d'environ 80 %. [3][1]