Le fabricant de portefeuilles matériels Trezor exhorte les clients ayant acheté ses appareils auprès de son ancien revendeur agréé CryptoBilis depuis mars à déplacer leurs fonds, à la suite du signalement d'un implant suspecté dans un Trezor Safe 5.

Trezor a rendu le signalement public vendredi dans un billet officiel sur son blog, et l'avis a également été partagé sur X. Selon cette divulgation, un client en Indonésie a découvert une carte électronique non autorisée à l'intérieur d'un Safe 5 acheté en août sur la place de marché Tokopedia. L'implant suspecté aurait pu capturer les informations affichées sur l'écran de l'appareil — y compris les phrases de récupération du portefeuille — et les transmettre via un réseau cellulaire. Les portefeuilles matériels sont conçus pour conserver les phrases de récupération hors ligne, c'est pourquoi un appareil soupçonné de fuiter ce qu'il affiche touche au cœur même du modèle de sécurité du produit.

Trezor a indiqué n'avoir pas encore examiné l'appareil et n'avoir reçu aucun signalement de pertes de fonds associées.

« Nous n'avons pas encore reçu l'appareil dans notre laboratoire, mais nous traitons ce signalement comme crédible, et nous préférons avertir les gens maintenant plutôt que d'attendre une confirmation et découvrir que quelqu'un a perdu ses fonds entre-temps », a déclaré à Cointelegraph Danny Sanders, directeur commercial de Trezor.

Un porte-parole de l'entreprise a décrit les ventes réalisées via CryptoBilis comme « très limitées », sans fournir de chiffres. Le porte-parole a ajouté que Trezor n'a pas déterminé où la manipulation suspectée s'était produite et qu'elle réexamine ses protections matérielles, reconnaissant que les mesures de sécurité existantes — notamment les sceaux et l'emballage — ne suffisent pas à elles seules. Concrètement, déplacer ses fonds implique de générer un nouveau portefeuille avec une phrase de récupération inédite sur un appareil obtenu via un canal fiable, en abandonnant toute phrase qui aurait pu être affichée sur l'appareil suspect.

Manipulation de portefeuilles Ledger et avertissements antérieurs à Trezor

Cet avertissement fait suite à des signalements de pertes de cryptomonnaies impliquant des portefeuilles Ledger vendus via CryptoBilis, révélés le 9 octobre. Ledger a confirmé la présence d'un implant matériel non autorisé dans l'un des appareils.

Le chercheur en sécurité Joe Grand avait précédemment indiqué à Cointelegraph avoir alerté Trezor en août au sujet de portefeuilles Trezor One et Model T manipulés, achetés auprès de vendeurs non autorisés sur TikTok et Facebook. Trezor a précisé que son affirmation antérieure — l'absence de preuve d'appareils compromis — ne s'appliquait qu'aux nouveaux portefeuilles vendus via des revendeurs agréés, ajoutant que ses vérifications de configuration ciblaient les contrefaçons et les micrologiciels modifiés — alors que l'implant découvert dans un Ledger vendu par CryptoBilis lisait l'écran sans modifier le micrologiciel.

Une phrase de récupération volée peut permettre à un attaquant de restaurer un portefeuille sur un autre appareil et de transférer ses fonds.

Trezor a annoncé le 13 octobre son intention de réduire son réseau de revendeurs.

À lire aussi : Les portefeuilles Ledger manipulés ont coûté 2,7 millions de dollars aux utilisateurs de Singapour, selon la police

Source : Cointelegraph