L'avertissement de Trezor Wallet met en évidence les risques liés à la chaîne d'approvisionnement

Trezor a averti ses clients de la présence suspectée d’un implant matériel dans un Safe 5 acheté auprès du revendeur CryptoBilis, que l’entreprise a retiré de son réseau agréé le 9 octobre. Un acheteur a déclaré avoir découvert une carte de circuit imprimé supplémentaire, mais, au 30 octobre, Trezor n’avait toujours pas reçu l’appareil pour des analyses en laboratoire. L’entreprise a indiqué n’avoir reçu aucun signalement de pertes subies par des clients. Les clients éligibles ayant acheté des appareils fournis par CryptoBilis à partir de mars 2026 peuvent demander un remplacement ou un bon d’achat. Trezor conseille aux propriétaires concernés de créer un portefeuille avec une nouvelle phrase de récupération et d’y transférer leurs fonds. Restaurer un portefeuille à l’aide d’une ancienne phrase ne protégerait pas les actifs si celle-ci a été exposée. L’entreprise a également recommandé aux clients de se méfier des tentatives d’hameçonnage et indiqué que quatre autres appareils retournés ne présentaient aucun signe d’altération. Cet avertissement remet en lumière la sécurité de la chaîne d’approvisionnement des portefeuilles matériels. Trezor a déclaré que l’implant suspecté ressemblait à celui découvert dans une affaire distincte concernant Ledger, mais aucune preuve publique ne relie les incidents ni leurs auteurs. Ledger a confirmé la présence d’un implant dans un appareil concerné, capable de récupérer une phrase de récupération de 24 mots via la connexion à l’écran, sans perturber la puce de sécurité, le système d’exploitation ou les fonctions normales de signature. Des chercheurs ont publié des estimations qui se recoupent concernant les pertes liées à l’enquête sur Ledger : le 29 octobre, Arkham a suivi 95,35 millions de dollars répartis sur 1 486 adresses, tandis que le 16 octobre, Bitquery a comptabilisé 102 millions de dollars dans 335 portefeuilles et sur six blockchains. Ces estimations sont distinctes et ne doivent pas être additionnées ; elles ne constituent pas non plus des chiffres définitifs confirmés par le fabricant. Aucune perte n’a été confirmée dans l’affaire Trezor. Ces incidents montrent que vérifier une puce de sécurité ne revient pas à examiner l’ensemble d’un portefeuille pour détecter l’ajout de composants.