Trezor a réduit son réseau de revendeurs d'environ 80 % et publié une mise à jour du firmware après avoir découvert des implants matériels dans trois portefeuilles Safe 5 achetés auprès de l'ancien revendeur CryptoBilis.
Résumé
- Trois portefeuilles Safe 5 achetés auprès de CryptoBilis contenaient des implants, selon l'enquête de Trezor.
- La version 2.13.1 du firmware bloque les implants identifiés, mais les phrases de récupération capturées auparavant restent exposées.
- Les acheteurs à partir de mars 2026 restent éligibles à des remplacements et devraient transférer leurs fonds vers de nouveaux portefeuilles.
- Aucun client n'a signalé de perte de fonds, et aucun implant n'a été confirmé en dehors de CryptoBilis.
La mise à jour de l'enquête de Trezor du 12 novembre indique que les clients devraient toujours transférer leur cryptomonnaie vers un portefeuille nouvellement créé avec une nouvelle phrase de récupération, même après avoir installé la protection publiée un jour plus tôt.
L'entreprise a déclaré que les revendeurs retirés étaient dignes de confiance et ne représentaient aucune menace immédiate. Ils ne satisfaisaient pas aux exigences de manipulation plus strictes introduites auprès de ses partenaires restants, couvrant la manière dont les appareils sont approvisionnés, stockés et accessibles.
Le firmware de Trezor bloque les implants mais ne peut pas protéger les phrases de récupération exposées
Publiée le 11 novembre, la version 2.13.1 du firmware empêche les implants identifiés lors de l'enquête de capturer des informations sur les appareils exécutant la mise à jour, selon le fabricant de portefeuilles.
Cependant, ses instructions pour les clients de CryptoBilis restent inchangées, car les mots de récupération collectés avant l'installation pourraient déjà être exposés.
« Si vous avez acheté auprès de CryptoBilis, vous devriez toujours transférer vos fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération », a déclaré Trezor.
Dans une réponse sur X, l'entreprise a expliqué que l'implant surveille la communication entre le microcontrôleur de l'appareil et l'écran, puis commence à enregistrer lorsqu'il reconnaît une séquence particulière. Les ingénieurs ont modifié l'ordre des commandes envoyées à l'écran afin que le déclencheur ne fonctionne plus.
L'avertissement antérieur aux clients, couvert par crypto.news après que Trezor a reçu le rapport initial sur l'implant, déconseillait d'importer l'ancienne phrase de récupération dans un autre portefeuille matériel ou logiciel.
Les clients qui n'ont pas configuré un appareil acheté auprès de CryptoBilis ont été invités à ne pas le configurer ni à saisir une sauvegarde de portefeuille existante.
Trois portefeuilles concernés provenaient d'achats effectués en août et septembre
Selon l'enquête, les trois appareils Safe 5 concernés ont été achetés entre le 20 août et le 23 septembre 2026, via les boutiques Tokopedia et Shopee de CryptoBilis ou directement auprès du revendeur.
Les ingénieurs ont examiné le premier appareil signalé dans le laboratoire de Trezor. Les deux autres implants ont été identifiés à partir de photographies fournies par leurs propriétaires.
Depuis son appel d'octobre invitant les clients à prendre contact, l'entreprise a été contactée par 48 acheteurs de CryptoBilis. Des vérifications sont en cours par le biais d'examens en laboratoire ou de photographies de l'intérieur des appareils.
Trezor a déclaré que tous les autres appareils examinés ne présentaient aucune preuve de falsification. Les inspections de portefeuilles provenant d'autres revendeurs de la région n'en ont pas trouvé non plus, et l'enquête n'a pas confirmé la présence d'un implant dans un autre modèle Trezor.
L'entreprise a retiré CryptoBilis de la liste des revendeurs agréés le 9 octobre, après des signalements de portefeuilles Ledger falsifiés vendus par le même commerce. Son premier avertissement concernant un implant Trezor suspecté a suivi le 30 octobre.
Des cartes de circuits imprimés cachées capturaient les mots de récupération depuis l'écran
L'équipe d'ingénierie embarquée de Trezor a extrait et analysé le firmware de l'implant, qui consiste en une carte de circuits imprimés supplémentaire placée entre la carte principale du Safe 5 et son écran.
L'entreprise a décrit un dispositif d'écoute qui copie les informations affichées à l'écran sans modifier le firmware du portefeuille ni l'élément sécurisé.
Il reconnaît les mots de récupération affichés lors de la création d'une sauvegarde de portefeuille, ainsi que les mots saisis lors de la restauration d'un portefeuille existant. Les phrases secrètes apparaissant à l'écran peuvent être capturées de la même manière.
Selon le compte rendu technique, les informations capturées sont chiffrées et transmises via un réseau mobile à un serveur contrôlé par l'attaquant. Lorsqu'une connexion est indisponible, l'implant stocke les données et réessaie plus tard.
Interrogée sur la détection d'une falsification, Trezor a déclaré qu'il n'y avait pas de différences externes évidentes. L'ouverture d'un portefeuille peut l'endommager, et un implant bien conçu peut rester difficile à identifier même avec des photographies de référence.
L'éligibilité au remplacement commence avec les achats de mars
Tout client ayant acheté un Trezor auprès de CryptoBilis à partir de mars 2026 est éligible à un remplacement, une période qui s'étend au-delà des dates d'achat des trois appareils identifiés.
Des restrictions d'expédition peuvent nécessiter un modèle différent avec remboursement de la différence de prix, une livraison à une adresse dans un autre pays, ou un remboursement. Les clients doivent conserver leurs appareils et organiser une assistance via le support Trezor.
L'entreprise a averti que des escrocs pourraient se faire passer pour des membres du personnel de support proposant des remplacements ou des remboursements. Son personnel ne demandera jamais aux clients de partager leurs phrases de récupération.
