Trezor a annoncé vendredi qu'il considère comme crédible un rapport client isolé concernant un implant matériel dans un portefeuille Safe 5 vendu par l'ancien revendeur CryptoBilis, et exhorte toute personne ayant acheté l'appareil depuis mars 2026 à transférer ses fonds vers un nouveau portefeuille avec une graine neuve. Cette alerte fait suite à des rapports antérieurs sur des appareils Ledger falsifiés vendus par le même revendeur, poussant Trezor à rompre ses liens avec CryptoBilis le 9 octobre.

Détails de l'implant présumé

Selon le rapport partagé par Trezor sur X, l'appareil suspect contient un circuit imprimé supplémentaire équipé d'un module cellulaire. L'implant est décrit comme capable de capturer tout ce qui s'affiche sur l'écran du portefeuille — y compris la phrase de récupération — et de transmettre ces données sur un réseau mobile une fois l'appareil branché. L'entreprise n'a pas encore examiné l'unité, mais la description du client correspond au comportement observé dans les implants Ledger divulgués plus tôt ce mois-ci.

Réponse de l'entreprise et mesures correctives

L'équipe de sécurité de Trezor a déclaré qu'elle analyserait le Safe 5 dès réception de l'appareil, et qu'aucune perte de fonds n'a été signalée à ce jour par un acheteur de CryptoBilis. Dans l'intervalle, la société conseille aux utilisateurs concernés de transférer leurs actifs vers un nouveau portefeuille matériel ou, à défaut, de stocker temporairement leurs fonds dans un portefeuille logiciel de confiance ou sur une plateforme d'échange. Les appareils non ouverts ne doivent pas être configurés, et les propriétaires peuvent contacter le support de Trezor pour un remplacement. L'entreprise a également noté que les inspections de quatre autres portefeuilles d'origine CryptoBilis n'ont révélé jusqu'à présent aucun signe de falsification.

Contexte plus large et réaction du secteur

Cet incident ravive les inquiétudes concernant la sécurité des portefeuilles matériels achetés par des canaux non autorisés. Plus tôt en octobre, Ledger a confirmé un implant cellulaire similaire dans un appareil vendu par CryptoBilis, avec une analyse on-chain estimant à plus de 86 millions de dollars les fonds drainés des utilisateurs Ledger affectés. Le chercheur en sécurité Joe Grand avait précédemment averti Trezor sur des appareils contrefaits vendus sur TikTok et Facebook, poussant l'entreprise à resserrer son réseau de revendeurs. Trezor a annoncé le 13 octobre son intention de réduire davantage sa base de revendeurs, soulignant que les scellés et l'emballage existants ne constituent pas des garanties suffisantes contre une falsification sophistiquée.