Trezor à son tour : une puce espionne signalée dans un Safe 5 vendu par CryptoBilis
Après Ledger, Trezor alerte sur un Safe 5 acheté chez le revendeur CryptoBilis qui cacherait une carte capable de lire la phrase de récupération à l’écran et de l’envoyer par réseau mobile.
Sommaire
Le cauchemar CryptoBilis n’était donc pas une affaire purement Ledger. Trezor a averti vendredi 30 octobre ses clients d’Asie du Sud-Est qu’un de ses portefeuilles physiques, un Trezor Safe 5, aurait lui aussi été livré avec un passager clandestin : une carte électronique capable de lire la phrase de récupération à l’écran et de l’expédier par réseau mobile.
Dans un billet publié sur son blog, le fabricant tchèque explique avoir reçu le 28 octobre un signalement en « divulgation responsable » d’un client indonésien. L’appareil avait été acheté en août 2026 auprès de CryptoBilis, via sa boutique sur la marketplace Tokopedia. Trezor précise d’emblée ne pas avoir encore eu le boîtier entre les mains, mais juge le rapport « crédible » après avoir examiné les photos et interrogé l’utilisateur en visio.
Une carte de plus entre l’écran et la carte mère
Selon la description transmise, que Trezor dit ne pas avoir vérifiée lui-même, le Safe 5 abritait une carte supplémentaire glissée entre la carte mère et l’écran, avec un module cellulaire et une antenne. Son rôle supposé : lire ce qu’affiche l’appareil, y compris la sauvegarde du wallet, et l’envoyer sur le réseau mobile dès que le portefeuille est branché.
Pas besoin de casser la moindre cryptographie, donc. La puce sécurisée peut bien faire son travail, si quelqu’un regarde par-dessus l’épaule de l’écran au moment où s’affichent les 24 mots, la partie est perdue. Le client avait d’ailleurs déjà déplacé ses fonds avant de découvrir la carte, alerté par une différence de poids. Trezor affirme qu’aucune perte ne lui a été signalée, tout en rappelant qu’un wallet en auto-garde ne lui laisse aucune visibilité sur les soldes.
« Ce que nous avons vu semble suffisamment sophistiqué pour que nous ayons décidé de prévenir les clients maintenant », écrit l’équipe. Attendre la confirmation du labo « laisserait les acheteurs de CryptoBilis exposés en attendant ».
CryptoBilis, déjà au cœur de 86 millions de dollars de vols présumés
Le nom de CryptoBilis ne sort pas de nulle part. Le 9 octobre, Ledger ouvrait une enquête sur des pertes de fonds chez des clients ayant acheté leurs appareils chez ce revendeur agréé d’Asie du Sud-Est. Quatre jours plus tard, la cellule Donjon du fabricant français confirmait, rapportait CoinDesk, la présence d’un implant LTE équipé d’une eSIM, capable de capturer la phrase de récupération pendant l’initialisation. L’enquêteur on-chain Specter chiffrait les vols présumés à plus de 86 millions de dollars sur Bitcoin, Ethereum et Tron, un montant que Ledger n’a pas validé.
L’affaire a même traversé les océans : selon The Block, MediaMarkt Saturn a retiré les Ledger de ses rayons européens le 13 octobre après le signalement d’un appareil trafiqué par un client allemand. Côté communauté, un recensement OSINT documente plusieurs Ledger Stax et Flex vendus par CryptoBilis en Malaisie, avec à chaque fois le même module Nordic nRF9151 et une antenne collée sous le capot.
Trezor, qui comptait aussi CryptoBilis parmi ses revendeurs, l’avait rayé de sa liste dès le 9 octobre et assurait alors n’avoir aucun indice que ses produits soient touchés. D’après la chronologie publiée par la marque, quatre autres appareils CryptoBilis renvoyés à partir du 19 octobre n’ont montré aucune trace de manipulation. Le cinquième, visiblement, n’a pas eu besoin de passer par le labo pour semer le doute.
Nouveau wallet, nouvelle seed, et surtout pas de balance de cuisine
La consigne vaut pour tous les modèles Trezor achetés chez CryptoBilis depuis mars 2026, quelle que soit la boutique qui les a écoulés. Ceux qui utilisent déjà l’appareil doivent transférer leurs fonds vers un nouveau portefeuille généré avec une nouvelle phrase de récupération : restaurer l’ancienne sur un autre appareil ne sert à rien, puisqu’elle a pu fuiter. Faute d’autre hardware wallet sûr, Trezor va jusqu’à conseiller un passage temporaire par un wallet logiciel ou une plateforme. Ceux qui n’ont pas encore initialisé leur boîtier ne doivent pas le faire, et Trezor promet un appareil de remplacement ou un bon d’achat.
Inutile en revanche de jouer les experts en démontage. Trezor déconseille de peser ou d’ouvrir son appareil, aucun de ces tests n’étant fiable. Et la marque prévient que les escrocs vont sans doute recycler l’incident en faux e-mails, courriers ou appels « du support ». Rappel de base : personne n’a jamais besoin de votre phrase de récupération.
Interrogé par Cointelegraph, un porte-parole reconnaît que les scellés et l’emballage ne suffisent pas, seuls, à protéger la chaîne d’approvisionnement. Trezor resserre déjà son réseau de distribution, avec des revendeurs qui perdront leur agrément le 1er janvier 2027. Reste la question que personne ne tranche encore : où, et par qui, ces cartes ont-elles été glissées dans les boîtiers ? Trezor refuse de comparer son cas à celui de Ledger tant que l’appareil indonésien n’est pas passé sous ses microscopes.
Cet article est publié à titre informatif et ne constitue pas un conseil en investissement. Les cryptoactifs sont volatils : n’investissez que ce que vous pouvez vous permettre de perdre.
