À la suite de la faille de sécurité à grande échelle et très médiatisée chez le concurrent Ledger, qui aurait causé des dizaines de millions de dollars de pertes en cryptomonnaies, le fabricant du portefeuille matériel Trezor réduit considérablement son réseau de revendeurs agréés.
Dans une lettre adressée à ses partenaires, Danny Sanders, directeur commercial de Trezor, a révélé que l'entreprise révoquerait l'agrément des revendeurs concernés le 1er janvier 2027, afin de mieux contrôler la chaîne d'approvisionnement.
Cette annonce fait suite à la découverte d'implants matériels malveillants dans des appareils Ledger vendus par des revendeurs tiers.
Bien que ce changement audacieux semble suggérer que l'entreprise soupçonne les appareils Trezor d'être également compromis, Trezor a souligné que cette mesure est strictement préventive et qu'aucune preuve n'indique que les appareils Trezor ont été compromis.
« Je tiens à être très clair : il n'existe pas la moindre preuve que des appareils Trezor aient été compromis », a écrit Sanders.
Le dirigeant a noté que le récent piratage visant un autre fabricant de portefeuilles matériels a confirmé les inquiétudes préexistantes de l'entreprise concernant les risques possibles posés par la distribution par des tiers.
Sanders a fait valoir que même si le portefeuille matériel est techniquement sécurisé, il subsiste un risque si des pirates informatiques peuvent accéder au portefeuille avant qu'il n'arrive entre les mains de son propriétaire.
Accord de revendeur
Les revendeurs ayant reçu la notification de résiliation seront retirés de la liste officielle des partenaires agréés Trezor le 1er janvier 2027.
De nouveaux stocks ne seront plus envoyés aux entreprises concernées, mais l'entreprise a déclaré que les revendeurs concernés pourraient encore vendre ce qui reste dans leur inventaire jusqu'à la date de résiliation, y compris pendant le très important Black Friday et la période des fêtes.
Trezor a expliqué que l'évaluation de chaque marché individuel était fondée sur les revenus, les capacités de distribution et la présence déjà établie de l'entreprise sur le marché.
En fin de compte, l'entreprise a décidé que moins de revendeurs signifiait que des contrôles de sécurité plus approfondis pouvaient être effectués.
Il est important de souligner que le dirigeant a insisté sur le fait que cette décision ne reflète pas négativement sur les entreprises concernées et n'implique pas qu'elles aient distribué des appareils compromis.
Pour les partenaires agréés, l'entreprise renforcera l'accord contractuel et accroîtra son contrôle sur la manière dont les appareils sont obtenus, stockés et manipulés.
L'entreprise n'a pas précisé combien de revendeurs perdraient leur agrément.
Difficultés du secteur
Cette annonce intervient quelques jours seulement après que le fabricant de portefeuilles matériels Ledger a été impliqué dans un important scandale de sécurité de la chaîne d'approvisionnement impliquant un revendeur de portefeuilles matériels, CryptoBilis, en Asie du Sud-Est.
Ledger a reconnu que certains appareils vendus par ce revendeur comportaient des implants matériels non autorisés susceptibles d'intercepter les phrases de récupération de 24 mots des utilisateurs lorsqu'ils initialisent leurs appareils.
Les conclusions, publiées par l'équipe de sécurité Donjon de Ledger, ont révélé que les implants malveillants avaient la capacité d'envoyer les phrases de récupération volées via des réseaux cellulaires, exposant potentiellement les utilisateurs à une perte d'accès à leurs fonds en cryptomonnaies.
Des enquêteurs on-chain ont estimé que l'événement pourrait avoir entraîné des pertes de plus de 90 millions de dollars, bien que Ledger n'ait pas confirmé ce chiffre de son côté.
Cet important effort de restructuration montre qu'à la suite du fiasco Ledger, les fabricants de portefeuilles matériels remettent en question les implications sécuritaires de la distribution par des tiers, même s'il n'existe aucune preuve que leurs appareils soient réellement compromis.
