La société "Trezor", spécialisée dans la fabrication de portefeuilles de cryptomonnaies froids, a annoncé avoir reçu des rapports indiquant la présence d'un composant matériel malveillant suspect à l'intérieur d'un portefeuille Trezor Safe 5 vendu par l'un de ses distributeurs agréés dans la région de l'Asie du Sud-Est, un distributeur connu sous le nom de CryptoBilis.
Bien que la société n'ait pas encore reçu l'appareil pour l'examiner en détail et confirmer de manière définitive la présence de ce composant malveillant, elle s'est empressée de lancer un avertissement officiel aux utilisateurs potentiels, les exhortant à transférer leurs clés privées et leurs actifs numériques vers des portefeuilles sécurisés connus, et ce, à titre de mesure de précaution immédiate pour protéger leurs fonds.
Détails de l'opération de piratage et de la chaîne d'approvisionnement
Selon les données de l'entreprise, les détails de l'histoire remontent à un signalement soumis par un utilisateur en Indonésie qui a acheté un portefeuille Safe 5 via la plateforme "Tokopedia" auprès du distributeur susmentionné au mois d'août de l'année 2026. Lorsque l'utilisateur a ouvert l'appareil, il a découvert une carte électronique supplémentaire non autorisée placée entre la carte principale du portefeuille et l'écran, cette carte contenant une unité de communication cellulaire et une identité sans fil.
Les informations préliminaires non confirmées indiquent que ce composant supplémentaire est capable de lire les données affichées sur l'écran du portefeuille, y compris la phrase de récupération ou de restauration du portefeuille, puis de les envoyer via le réseau mobile dès que l'appareil est branché ou utilisé. Il est à noter que le même distributeur (CryptoBilis) a été impliqué par le passé dans un incident similaire ayant ciblé les portefeuilles Ledger plus tôt dans le même mois, les composants insérés semblant similaires en termes de forme et de fonction sur les deux appareils.
Mesures immédiates et restructuration du réseau de distribution
À la suite de l'incident Ledger et avant de recevoir des indications claires sur l'atteinte portée à ses produits, la société Trezor a immédiatement suspendu les ventes de ses appareils par l'intermédiaire du distributeur CryptoBilis à compter du 9 octobre 2026. La société a ensuite annoncé des projets visant à restructurer et à renforcer le contrôle de son réseau de distributeurs et d'importateurs à travers le monde afin de garantir des niveaux plus élevés de sécurité des chaînes d'approvisionnement.
Trezor a affirmé ne détenir pour l'instant aucune information concernant le vol de fonds à la suite de cette attaque de la chaîne d'approvisionnement, tout en s'engageant à publier les dernières actualités de l'enquête dès l'arrivée de l'appareil réel et son examen. En revanche, les appareils Ledger ont fait l'objet de signalements croissants de pertes financières pour les utilisateurs, culminant avec une annonce de la police de Singapour ajoutant environ 3,5 millions de dollars aux pertes de ces attaques.
Recommandations pour les utilisateurs concernés
Trezor a recommandé aux utilisateurs ayant acheté des appareils par l'intermédiaire du distributeur CryptoBilis à partir de mars 2026 de ne pas les configurer ni les utiliser en aucun cas. Quant à ceux qui les ont déjà utilisés, la société leur a conseillé de transférer rapidement leurs fonds vers un portefeuille nouvellement créé comprenant une phrase de récupération entièrement nouvelle.
La société a également annoncé que les acheteurs munis d'une preuve d'achat valide peuvent la contacter pour obtenir un appareil de remplacement ou un bon d'achat pour un nouvel appareil, tout en soulignant que le poids des appareils n'est pas une méthode fiable ou précise pour déterminer s'ils ont fait l'objet d'une altération physique ou non.