Trezor a averti les clients ayant acheté des portefeuilles matériels auprès de l'ancien revendeur CryptoBilis de déplacer leurs fonds après avoir reçu un signalement faisant état d'un implant malveillant suspecté à l'intérieur d'un appareil Trezor Safe 5.
Résumé
- Trezor a averti les clients ayant acheté des portefeuilles matériels auprès de CryptoBilis depuis mars 2026 de déplacer leurs fonds après avoir reçu un signalement faisant état d'un implant suspecté dans un appareil Safe 5.
- L'implant suspecté contiendrait, selon les informations rapportées, une carte de circuit imprimé supplémentaire et un module cellulaire capables de capturer les phrases de récupération affichées sur le portefeuille et de les transmettre via un réseau mobile.
- Trezor n'a pas encore examiné physiquement l'appareil signalé, mais a déclaré que les informations fournies par le client étaient suffisamment crédibles pour émettre un avertissement. Aucune perte client n'a été signalée à l'entreprise.
- CryptoBilis a été retiré du réseau de revendeurs agréés Trezor le 9 octobre après que Ledger a confirmé que certains portefeuilles matériels vendus par le même revendeur avaient été physiquement altérés.
- Trezor a conseillé aux clients concernés de créer de nouveaux portefeuilles avec de nouvelles phrases de récupération et propose des appareils de remplacement ou des bons aux acheteurs éligibles.
Selon une annonce du 30 octobre, l'entreprise a reçu une divulgation de sécurité le 28 octobre concernant un portefeuille acheté via CryptoBilis sur Tokopedia en août 2026.
L'appareil a été acheté par un client en Indonésie, qui a signalé avoir trouvé une carte de circuit imprimé supplémentaire à l'intérieur du portefeuille pouvant potentiellement exposer des informations sensibles, y compris la phrase de récupération utilisée pour accéder aux avoirs en cryptomonnaies.
Trezor a déclaré avoir examiné des photographies et interrogé le client lors d'un appel vidéo, mais n'a pas encore examiné physiquement l'appareil. L'entreprise considère le signalement comme crédible et a conseillé aux clients ayant acheté tout modèle Trezor auprès de CryptoBilis depuis mars 2026 de prendre des précautions.
Aucun client ayant acheté des appareils Trezor via le revendeur n'a signalé de perte de fonds, selon l'entreprise.
L'implant du Trezor Safe 5 pourrait transmettre les phrases de récupération du portefeuille
L'implant suspecté serait constitué d'une carte de circuit imprimé supplémentaire positionnée entre la carte principale du portefeuille et son écran. Il contient un module cellulaire et une antenne qui pourraient permettre aux informations affichées sur l'appareil d'être transmises via un réseau mobile.
D'après la description du client, le matériel supplémentaire semble capable de lire l'écran, y compris la phrase de récupération générée lors de la configuration du portefeuille, et de transmettre ces informations chaque fois que l'appareil est connecté à une source d'alimentation.
Quiconque obtient la phrase de récupération d'un portefeuille pourrait potentiellement le restaurer sur un autre appareil et transférer ses fonds sans avoir besoin du matériel d'origine.
Le client qui a découvert l'implant suspecté avait déjà transféré ses cryptomonnaies hors de l'appareil avant d'identifier le matériel supplémentaire.
Trezor a déclaré que son équipe de sécurité s'organise pour recevoir le portefeuille afin de l'examiner en laboratoire. Les enquêteurs n'ont pas identifié qui a installé l'implant suspecté ni établi si les mêmes attaquants étaient responsables de l'incident Ledger antérieur.
CryptoBilis déjà lié à des portefeuilles Ledger altérés
L'avertissement fait suite à une enquête impliquant des appareils Ledger vendus via CryptoBilis, qui opérait auparavant comme revendeur agréé pour les deux fabricants de portefeuilles matériels en Asie du Sud-Est.
Le 9 octobre, Ledger a commencé à enquêter sur des signalements de pertes de cryptomonnaies parmi des clients ayant acheté ses portefeuilles via le revendeur.
Comme crypto.news l'a précédemment rapporté, Ledger a ensuite confirmé qu'un composant non autorisé à l'intérieur d'un appareil concerné pouvait capturer les phrases de récupération affichées lors de la configuration et les transmettre via une connexion cellulaire LTE.
L'implant matériel caché fonctionnait indépendamment de la puce de sécurité de l'appareil, laissant son système d'exploitation normal et ses fonctions de signature de transactions inchangés.
Trezor a répondu aux premiers signalements en retirant CryptoBilis de son réseau de revendeurs agréés le 9 octobre et en demandant aux clients de soumettre leurs appareils pour inspection.
Au 19 octobre, la société avait reçu quatre portefeuilles achetés via CryptoBilis, dont deux appareils Trezor Safe 5, un Safe 7 et un Safe 3. Aucun ne présentait de signes d'altération physique lors de l'inspection.
L'implant suspect révélé le 28 octobre concerne un autre appareil Safe 5 qui n'avait pas été inclus dans ces examens.
L'enquête sur les appareils Ledger s'est poursuivie. Le 29 octobre, la société d'analyse blockchain Arkham Intelligence a retracé 95,35 millions de dollars de vols présumés impliquant 1 486 adresses entre le 7 et le 9 octobre.
Arkham a rapporté qu'environ 10 millions de dollars en USDT avaient été gelés, tandis que l'attaquant continuait de déplacer la cryptomonnaie volée à travers plusieurs réseaux blockchain.
Séparément, la police de Singapour a signalé 3,5 millions de dollars singapouriens de pertes en cryptomonnaie dans deux affaires impliquant des appareils Ledger altérés achetés auprès de détaillants locaux.
Trezor a depuis restreint son réseau de revendeurs agréés et travaille avec Ledger et d'autres parties enquêtant sur les attaques signalées.
Trezor conseille aux clients de CryptoBilis de créer de nouveaux portefeuilles
Il a été conseillé aux clients qui ont acheté des appareils Trezor auprès de CryptoBilis à partir de mars 2026 de transférer leur cryptomonnaie vers un portefeuille nouvellement créé avec une phrase de récupération entièrement nouvelle.
La société a averti que l'importation d'une phrase de récupération existante dans un autre portefeuille matériel ou logiciel n'éliminerait pas le risque si cette phrase avait déjà été exposée.
Les utilisateurs qui ne disposent pas d'un autre portefeuille matériel sécurisé peuvent transférer temporairement leurs fonds vers un portefeuille logiciel familier ou une plateforme d'échange de cryptomonnaies. Trezor a conseillé aux clients de vérifier soigneusement les adresses de réception avant d'effectuer des transferts.
Toute personne ayant acheté un appareil mais ne l'ayant pas encore configuré devrait éviter de le configurer ou de saisir une phrase de récupération existante.
L'avertissement couvre tous les modèles Trezor fournis par CryptoBilis, y compris les appareils vendus via Tokopedia et d'autres magasins qui ont obtenu leur stock auprès du revendeur.
Trezor a déclaré que les clients ne devraient pas tenter d'identifier une altération en ouvrant ou en pesant leurs portefeuilles. Bien que le client qui a signalé l'implant ait remarqué une différence de poids, la société a déclaré que les mesures de poids ne peuvent pas établir de manière fiable si un appareil a été modifié.
Les clients qui ont acheté des appareils auprès de CryptoBilis pendant la période spécifiée sont éligibles à un portefeuille de remplacement expédié directement par Trezor ou à un bon couvrant le coût d'un nouvel appareil.
Trezor a averti que des escrocs pourraient exploiter l'incident au moyen d'e-mails, de lettres et d'appels téléphoniques frauduleux. Il a été rappelé aux clients de ne jamais divulguer leurs phrases de récupération, y compris à toute personne prétendant représenter l'équipe d'assistance de la société.
L'enquête est menée avec l'aide de SEAL 911, le service d'intervention d'urgence de la Security Alliance, qui conseille Trezor sur sa réponse aux clients concernés.
