Le fabricant de portefeuilles matériels Trezor a publié une alerte anticipée aux clients ayant acheté des appareils auprès du revendeur CryptoBilis, indiquant qu'un signalement d'implant matériel dans un Trezor Safe 5 est suffisamment crédible pour agir avant même l'achèvement de l'inspection en laboratoire. Selon la divulgation de Trezor, toute personne ayant acheté un Trezor auprès de CryptoBilis à partir de mars 2026 doit transférer les fonds détenus sur l'appareil vers un portefeuille généré à partir d'une nouvelle phrase seed.

La société s'est exprimée le 30 octobre 2026. Son équipe de sécurité a reçu le signalement le 28 octobre. Selon la soumission, un implant matériel aurait été intégré dans un Trezor Safe 5 acheté par le client auprès de CryptoBilis en août 2026 via la place de marché indonésienne Tokopedia. Trezor n'a pas encore examiné physiquement l'appareil, mais a indiqué considérer le témoignage du client, appuyé par une interview vidéo, comme crédible. Elle a choisi d'avertir les acheteurs immédiatement plutôt que d'attendre une confirmation en laboratoire. À ce jour, aucun client de CryptoBilis n'a signalé de perte de fonds à Trezor.

Ce que le signalement d'implant allègue

La divulgation de Trezor décrit une carte électronique supplémentaire placée entre la carte principale du Safe 5 et son écran. Cette carte embarque un module cellulaire et une antenne. Selon le signalement, l'implant présumé lit tout ce que l'écran affiche, y compris la sauvegarde du portefeuille, et transmet ces données via un réseau mobile dès que l'appareil est branché. La sauvegarde en question est la phrase seed — la série de mots générée lors de la configuration d'un portefeuille matériel qui suffit à elle seule à recréer le portefeuille et à dépenser des fonds depuis un autre appareil. Si la description est exacte, un implant de ce type exposerait l'élément qui contrôle entièrement le portefeuille.

Trezor a indiqué que la configuration ressemble aux implants trouvés dans des appareils Ledger vendus par le même revendeur, mais a précisé qu'elle ne confirmera pas ce lien tant que les enquêtes sont en cours.

Le signalement a été déposé via le programme de divulgation responsable de Trezor par un client en Indonésie. Ce client avait déjà transféré ses fonds hors de l'appareil avant de découvrir l'implant. Trezor a remercié le déclarant ainsi que SEAL 911, le service d'intervention d'urgence de la Security Alliance, tous deux ayant aidé dans le dossier et dans l'accompagnement des acheteurs concernés.

Pourquoi tous les acheteurs de CryptoBilis sont concernés

CryptoBilis était un revendeur officiel de Trezor en Asie du Sud-Est jusqu'en octobre 2026. Le 9 octobre, Ledger a commencé à enquêter sur des pertes de fonds parmi les clients ayant acheté des appareils auprès de ce revendeur, puis a indiqué que certains de ces appareils avaient été physiquement altérés. CryptoBilis vendait également des produits Trezor. Trezor a donc résilié le revendeur le jour même et a commencé à examiner les appareils des clients.

Le signalement du 28 octobre est, selon Trezor, le premier qu'elle reçoit suggérant un implant possible dans l'un de ses propres appareils via ce canal de vente. La société a précisé que ses recommandations couvrent tous les modèles Trezor achetés auprès de CryptoBilis, et pas seulement le Safe 5 mentionné dans le signalement. Elle n'a reçu aucun signalement impliquant un autre revendeur.

Cette affaire illustre comment la promesse de sécurité d'un portefeuille matériel scellé dépend toujours de ceux qui ont manipulé l'appareil avant qu'il n'atteigne l'acheteur. Deux questions restent en suspens : l'inspection en laboratoire du Safe 5 signalé confirmera-t-elle le témoignage du client, et quelles seront les conclusions des enquêtes en cours sur les implants signalés dans des appareils Ledger vendus via le même canal.

Ce que les acheteurs concernés doivent faire

Trezor a conseillé à toute personne ayant acheté un Trezor auprès de CryptoBilis à partir de mars 2026 et détenant des fonds sur l'appareil de transférer ces fonds dès que possible vers un portefeuille nouvellement créé avec une nouvelle seed. Restaurer l'ancienne sauvegarde sur un autre appareil ne supprime pas le risque, la seed ayant pu être exposée sur un appareil compromis. Les acheteurs ne disposant pas d'un second portefeuille matériel sécurisé peuvent temporairement placer leurs fonds dans un portefeuille logiciel ou sur une plateforme d'échange en laquelle ils ont déjà confiance, et doivent vérifier l'adresse de réception complète avant tout envoi.

La société a également demandé aux acheteurs de ne pas configurer d'appareils non ouverts provenant de ce canal et de ne jamais y saisir des sauvegardes de portefeuille existantes. Trezor a souligné que son équipe Support ne demandera jamais une phrase de récupération. Elle a aussi averti que des escrocs exploiteront probablement cette actualité à des fins de phishing, avec des faux e-mails, lettres et appels téléphoniques déjà constituant un risque.

Les acheteurs concernés de CryptoBilis restent éligibles à un nouveau Trezor expédié directement ou à un bon d'achat de remplacement. Ils doivent conserver l'appareil CryptoBilis et contacter le Support.