Le fabricant de portefeuilles matériels Trezor exhorte les clients ayant acheté ses appareils via l'ancien revendeur agréé CryptoBilis depuis mars 2026 à transférer leurs cryptoactifs vers de nouveaux portefeuilles, après qu'un acheteur a signalé un implant matériel suspect à l'intérieur d'un Trezor Safe 5. Dans un avis publié le 30 octobre sur son blog officiel — avant que l'entreprise n'examine physiquement l'appareil — Trezor a déclaré n'avoir reçu aucun signalement de fonds volés ni de pertes de cryptoactifs liés à cette affaire. L'alerte concerne tous les modèles Trezor vendus via CryptoBilis, et pas seulement le Safe 5.

Signalement par un acheteur indonésien

Un client indonésien a alerté Trezor le 28 octobre au sujet d'un Safe 5, un modèle de la gamme actuelle de portefeuilles matériels de l'entreprise, acheté en août via Tokopedia, une place de marché indonésienne. CryptoBilis était encore un revendeur agréé au moment de la commande.

Trezor a examiné des photographies de l'appareil et interrogé le client, mais n'a pas testé l'unité elle-même. « Nous n'avons pas encore eu l'appareil dans notre laboratoire », a déclaré Danny Sanders, directeur commercial, ajoutant que l'entreprise considérait le témoignage comme crédible. Trezor a refusé de divulguer les chiffres de ventes exacts du revendeur.

Un implant présumé pourrait capturer les phrases de récupération

Selon le signalement, le portefeuille contient une carte supplémentaire entre son circuit principal et l'écran. Un module cellulaire et une antenne pourraient, selon les allégations, transmettre le contenu affiché à l'écran, y compris les mots de récupération, chaque fois que l'appareil est alimenté.

Une phrase de récupération permet de restaurer un portefeuille de cryptoactifs sans le matériel d'origine. Trezor a averti que des attaquants pourraient exploiter ces mots même si le client change ensuite d'appareil. Les portefeuilles matériels tirent leur protection du maintien hors ligne des phrases de récupération, c'est pourquoi un composant présumé diffuser le contenu de l'écran compromettrait la garantie que l'appareil est censé offrir.

Cette inquiétude fait suite aux signalements de portefeuilles Ledger falsifiés à Singapour, où la police a enregistré deux affaires impliquant des pertes totalisant environ 3,5 millions de dollars singapouriens. Trezor n'a pas établi de lien entre ces affaires et l'appareil signalé par l'acheteur indonésien.

Des affaires antérieures ont déclenché un examen des revendeurs

Trezor a retiré CryptoBilis de sa liste de revendeurs agréés le 9 octobre, après que Ledger a confirmé des modifications physiques sur des appareils vendus par le même revendeur. Les enquêteurs n'ont pas identifié qui avait altéré l'unité Trezor signalée.

L'entreprise a inspecté quatre autres portefeuilles obtenus via CryptoBilis et n'a trouvé aucune falsification. Par ailleurs, Keystone a signalé cette semaine une fuite d'informations d'expédition de clients, bien que cet incident n'ait pas impliqué de phrases de récupération exposées.

Les clients invités à remplacer leurs sauvegardes de portefeuille

Trezor a conseillé aux acheteurs concernés de créer de nouveaux portefeuilles avec de nouvelles phrases de récupération et d'y transférer leurs avoirs. Restaurer une ancienne phrase de récupération sur un autre matériel laisserait toute exposition antérieure non résolue.

L'entreprise a également averti les clients de se méfier des faux messages de sécurité. Des clients de Foundation Passport ont récemment reçu des courriels de phishing contenant des détails d'achat personnels ; cet incident distinct impliquait des courriels trompeurs plutôt qu'une falsification confirmée du matériel.

Les clients qui n'ont pas activé leurs appareils doivent les laisser inutilisés. Trezor offre aux acheteurs éligibles des portefeuilles de remplacement ou des bons d'achat via son équipe d'assistance et affirme que son personnel ne demande jamais les phrases de récupération. L'appareil signalé n'ayant toujours pas été testé au moment de l'avis du 30 octobre, les conclusions du laboratoire de Trezor constituent la principale question en suspens de cette affaire.