Le fabricant de portefeuilles matériels Trezor a annoncé qu'il réduira considérablement le nombre de revendeurs agréés autorisés à vendre ses appareils, avec des suppressions de la liste officielle prenant effet au 1er janvier 2027. L'entreprise a présenté cette décision comme « une étape préventive, prise par mesure de précaution maximale » en réponse aux récents incidents de chaîne d'approvisionnement touchant le secteur des portefeuilles matériels. Les revendeurs agréés sont des distributeurs tiers formellement approuvés par un fabricant pour vendre ses appareils.

L'annonce a été faite mardi dans une publication sur X, dans laquelle Trezor a déclaré qu'il n'existe « pas la moindre preuve » que ses appareils aient été compromis.

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

Le directeur commercial Danny Sanders a indiqué que certains revendeurs ont déjà été informés de leur suppression de la liste des revendeurs agréés au 1er janvier 2027. Il a ajouté que les expéditions vers ces revendeurs cesseraient dès mardi.

Trezor a également partagé une lettre envoyée à certains partenaires, dans laquelle l'entreprise écrit qu'un portefeuille matériel n'est « aussi sûr que le chemin qu'il parcourt pour parvenir à son propriétaire ». Selon la lettre, Trezor souhaite un réseau de revendeurs suffisamment réduit pour pouvoir contrôler chaque partenaire restant. Ceux qui resteront dans le programme seront soumis à un cadre juridique actualisé et à des contrôles plus rigoureux sur la provenance, le stockage et la manipulation des appareils.

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Ce qui s'est passé avec Ledger

Cette décision est intervenue quelques jours après que Ledger a confirmé qu'au moins un de ses appareils acheté auprès d'un revendeur d'Asie du Sud-Est contenait un implant matériel non autorisé. Le revendeur concerné est CryptoBilis.

Selon les rapports, les implants étaient soudés dans les appareils. Ils capturaient les phrases de récupération des utilisateurs et les transmettaient via des réseaux cellulaires. Une phrase de récupération est la sauvegarde principale d'un portefeuille auto-hébergé — une suite de mots à partir de laquelle toutes les clés privées d'un portefeuille peuvent être régénérées — de sorte que quiconque la obtient peut s'emparer des fonds sans jamais manipuler le matériel. Cette affaire illustre également le fonctionnement d'une attaque de la chaîne d'approvisionnement : la compromission se produit entre l'usine et l'acheteur, dans le canal de distribution physique plutôt que dans les logiciels.\nL'incident a été révélé le 9 octobre 2026, lorsqu'il est apparu que des attaquants auraient manipulé des appareils vendus par un revendeur tiers.

CryptoBilis est également un revendeur agréé de Trezor. Elle a suspendu toutes ses ventes de portefeuilles matériels pendant l'enquête.

Par ailleurs, la société mère de MediaMarkt a déclaré avoir retiré tous les produits Ledger de ses magasins physiques et de ses plateformes en ligne, qualifiant cette mesure de précaution.

Quel est le montant des pertes

Les chercheurs blockchain travaillent toujours à évaluer le montant total des pertes. Des recherches menées par deux personnes suggèrent des pertes comprises entre 72 et 86 millions de dollars, tandis que d'autres rapports avancent un total estimé à 93 millions de dollars.

Ledger a déclaré mardi n'avoir pas confirmé le nombre total d'utilisateurs touchés ni la valeur totale perdue.

La réponse de Trezor

Un porte-parole de Trezor a déclaré à Cointelegraph que les contrôles de configuration de l'entreprise sont conçus pour détecter les appareils contrefaits et les micrologiciels modifiés. L'implant découvert dans l'appareil CryptoBilis fonctionne différemment, a précisé le porte-parole.

Selon lui, l'implant ne modifie pas le micrologiciel de l'appareil. Il lit plutôt les informations affichées à l'écran et les envoie ultérieurement à l'attaquant. Ce comportement sort du modèle de sécurité sur lequel reposent les portefeuilles matériels, qui suppose que les secrets d'un appareil ne quittent jamais le matériel lui-même. Trezor a indiqué n'avoir jamais observé ce type d'attaque sur ses appareils dans la réalité.

L'entreprise a exhorté les utilisateurs à acheter directement auprès de Trezor et à vérifier que le sceau de l'appareil est intact. Elle a également suggéré d'utiliser un portefeuille multi-signatures composé d'appareils de différents fabricants, afin qu'un seul appareil compromis ne puisse pas déplacer les fonds à lui seul.

Une année difficile pour les portefeuilles matériels

Selon les rapports, les entreprises de portefeuilles matériels ont été confrontées à une dizaine d'incidents cette année, notamment des fuites de données, des divulgations d'injection de fautes laser et un bug d'entropie du micrologiciel. L'injection de fautes laser est une technique physique qui utilise une lumière focalisée pour provoquer des erreurs dans une puce et potentiellement contourner ses contrôles de sécurité, tandis qu'un bug d'entropie désigne une faiblesse dans le caractère aléatoire dont dépend la génération de clés cryptographiques.

Trezor a lui-même été confronté à un incident en août, lorsqu'une fuite de données chez un prestataire tiers de logistique a exposé les informations personnelles de dizaines de milliers de clients.

Le développement le plus récent est que les suppressions de revendeurs de Trezor prendront effet au 1er janvier 2027, soit un peu moins de trois mois après l'annonce. Les enquêteurs continuent de déterminer l'ampleur totale des pertes liées à l'incident Ledger.