Le fabricant de wallets matériels Trezor a réduit son réseau de revendeurs agréés d'environ 80 % après la découverte d'implants matériels malveillants dans trois wallets de cryptomonnaies Safe 5. Parallèlement à cette restructuration, l'entreprise a déployé une mise à jour du firmware destinée à empêcher les implants de capturer des informations sensibles du wallet.

Dans un point d'avancement de l'enquête publié le 12 novembre 2026, Trezor a confirmé que les trois appareils compromis provenaient de CryptoBilis, un ancien revendeur d'Asie du Sud-Est. Bien qu'aucun client n'ait signalé de perte de cryptomonnaies, l'entreprise continue de recommander le transfert des fonds vers des wallets nouvellement créés. Trezor a détaillé ses conclusions dans un point officiel sur l'enquête.

Trois wallets compromis confirmés

Les implants ont été découverts dans des unités Safe 5 achetées entre le 20 août et le 23 septembre 2026, soit directement auprès de CryptoBilis, soit via ses boutiques sur les places de marché Tokopedia et Shopee. Trezor a physiquement examiné un wallet compromis dans son laboratoire et a identifié les deux autres implants à partir de photographies soumises par des clients.

Après l'alerte initiale émise par Trezor en octobre, 48 clients de CryptoBilis ont contacté l'entreprise pour obtenir de l'aide. Les enquêteurs n'ont trouvé aucune preuve de falsification dans les appareils achetés auprès d'autres revendeurs ou dans d'autres modèles Trezor, mais l'enquête se poursuit.

Comment les implants collectent les données du wallet

Le composant malveillant est une carte électronique supplémentaire installée entre la carte mère du Safe 5 et son écran. Elle capture furtivement les informations affichées à l'écran, y compris les phrases de récupération et les phrases secrètes du wallet, puis chiffre les données volées et les transmet via un réseau mobile vers un serveur contrôlé par l'attaquant. En cas d'échec de la connectivité, l'implant stocke les données et tente une transmission ultérieure.

Une phrase de récupération est la sauvegarde principale d'un wallet matériel : elle permet de régénérer les clés du wallet sur n'importe quel appareil compatible, ce qui signifie que sa capture équivaut à la prise de contrôle des fonds qu'elle protège, même si l'appareil lui-même n'est plus jamais utilisé.

Fait notable, l'implant ne modifie ni le firmware d'origine du wallet ni son Secure Element, ce qui signifie que les composants de sécurité essentiels de l'appareil restent inchangés — un détail qui rend l'attaque particulièrement préoccupante, puisque la modification opère en dehors du cœur cryptographique que ces composants protègent, en collectant ce que l'écran affiche plutôt qu'en altérant le fonctionnement interne du wallet.

Correctif du firmware et contrôles plus stricts de la chaîne d'approvisionnement

Trezor a publié la version du firmware 2.13.1 le 11 novembre pour empêcher les implants identifiés de capturer des informations supplémentaires. Étant donné que la mise à jour ne peut pas protéger les phrases de récupération que les attaquants ont pu déjà obtenir, l'entreprise conseille aux clients de CryptoBilis de transférer leurs cryptomonnaies vers de nouveaux wallets avec des phrases de récupération nouvellement générées. Les deux mesures répondent à des risques différents : le correctif du firmware stoppe toute capture supplémentaire une fois installé, tandis que le nouveau wallet protège les fonds si une phrase de récupération a déjà été exposée. Les clients ayant acheté des appareils Trezor auprès de CryptoBilis depuis mars 2026 ont également droit à un remplacement.

Parallèlement, Trezor a supprimé environ les quatre cinquièmes de son réseau de revendeurs et introduit des exigences plus strictes pour l'approvisionnement, le stockage et la manipulation des appareils. L'entreprise a souligné que les partenaires écartés ne représentaient pas nécessairement des menaces pour la sécurité ; la restructuration vise à renforcer la protection de la chaîne d'approvisionnement et à réduire les occasions de falsification matérielle future. Pour les acheteurs, cet épisode rappelle que la sécurité d'un wallet matériel dépend non seulement de sa cryptographie, mais aussi du chemin physique parcouru par un appareil entre l'usine et l'acheteur — un chemin qui, lorsqu'il passe par des vendeurs tiers et des boutiques de places de marché, échappe à la surveillance directe du fabricant.