Un Safe 5 potentiellement modifié dans la chaîne de distribution
Trezor enquête sur un signalement faisant état d’un implant matériel dissimulé dans un Safe 5. L’appareil aurait été acheté en août 2026 en Indonésie, sur la marketplace Tokopedia, auprès du revendeur CryptoBilis.
Le fabricant a reçu cette divulgation responsable le 28 octobre. Il dispose de photographies, d’une description du dispositif et a échangé avec le client par appel vidéo. Le wallet doit encore être acheminé vers son laboratoire pour une analyse complète.
Trezor n’affirme pas encore avoir authentifié l’implant. L’entreprise a choisi d’alerter sans attendre l’examen physique, car une confirmation tardive pourrait laisser d’autres acheteurs exposés. Cette distinction entre suspicion et constat de laboratoire reste essentielle.
Comment fonctionnerait l’implant présumé ?
D’après les informations fournies par le client, une carte électronique supplémentaire aurait été installée entre la carte principale du Safe 5 et son écran. Elle intégrerait un module de communication cellulaire ainsi qu’une antenne.
Le montage serait capable d’intercepter ce qui apparaît à l’écran lorsque l’appareil est alimenté. Cela inclut potentiellement la phrase de récupération générée lors de la configuration, avant une transmission à distance via un réseau mobile.
| Élément | Fonction présumée | Risque |
|---|---|---|
| Carte additionnelle | Interception du flux entre l’appareil et l’écran. | Lecture d’informations confidentielles affichées. |
| Module cellulaire | Connexion à un réseau mobile. | Exfiltration des données sans connexion au téléphone de la victime. |
| Antenne | Transmission du signal radio. | Communication discrète avec l’extérieur. |
| Alimentation USB | Activation lorsque le wallet est branché. | Déclenchement pendant l’installation ou l’utilisation. |
La phrase de récupération constitue la cible principale
Une phrase de récupération permet de reconstituer l’ensemble des clés privées d’un wallet. Une personne qui l’obtient peut restaurer les comptes sur son propre appareil et transférer les actifs sans posséder le hardware wallet original.
C’est pourquoi changer uniquement de terminal ne résout pas le problème. Si l’ancienne phrase a déjà pu être copiée, elle doit être considérée comme compromise.
La sécurité d’un hardware wallet ne dépend pas seulement de sa puce ou de son logiciel : elle repose aussi sur l’intégrité du produit entre l’usine, le distributeur, le revendeur et l’utilisateur final.
Que doivent faire les acheteurs concernés ?
L’alerte vise tous les modèles Trezor achetés auprès de CryptoBilis depuis mars 2026, y compris ceux acquis dans une boutique ou sur une plateforme alimentée par ce distributeur.
| Situation | Action prioritaire |
|---|---|
| Appareil déjà configuré | Créer un wallet sain avec une nouvelle phrase de récupération, puis y transférer tous les actifs. |
| Aucun hardware wallet sûr disponible | Utiliser temporairement un software wallet ou une plateforme de confiance, le temps de recevoir un appareil sécurisé. |
| Appareil pas encore configuré | Ne pas l’allumer pour l’initialiser et ne jamais y saisir une phrase existante. |
| Origine de l’appareil incertaine | Contrôler la facture, le nom du vendeur et contacter le support Trezor. |
| Appareil potentiellement concerné | Le conserver intact et demander son remplacement ou un bon d’achat auprès de Trezor. |
1. Générer une seed entièrement nouvelle
Le nouveau wallet doit être créé sur un appareil dont la provenance est fiable. Il faut générer une nouvelle phrase, la conserver hors ligne et ne jamais réutiliser celle produite ou saisie sur le terminal suspect.
2. Transférer les actifs, pas seulement restaurer le wallet
Restaurer l’ancienne seed sur un autre appareil conserve les mêmes clés privées. La procédure correcte consiste à envoyer les actifs vers les adresses dérivées de la nouvelle phrase de récupération.
3. Ne pas démonter l’appareil soi-même
Trezor déconseille d’ouvrir ou de peser le wallet pour tenter de détecter une modification. Une faible différence de poids ne constitue pas une preuve fiable, tandis qu’un démontage peut détériorer les éléments utiles à l’enquête.
Aucune perte signalée à Trezor à ce stade
Le client à l’origine de l’alerte aurait déplacé ses fonds avant de découvrir la carte supplémentaire. Trezor indique n’avoir reçu aucun signalement de perte provenant d’un acheteur CryptoBilis lié à ses propres appareils.
Cette absence de plainte ne prouve toutefois pas que le risque est nul. Un fabricant de wallet ne connaît pas les soldes de ses utilisateurs et ne peut pas identifier automatiquement tous les transferts frauduleux.
Quatre autres appareils contrôlés sans anomalie
Après avoir retiré CryptoBilis de son réseau, Trezor a commencé à collecter des produits achetés auprès de ce revendeur. Quatre appareils ont été reçus et inspectés sans qu’aucune trace de manipulation soit détectée.
Le cas rapporté semble donc isolé pour le moment. Aucun autre revendeur ni aucune autre région ne faisait l’objet d’un signalement similaire auprès de Trezor au 30 octobre.
CryptoBilis avait déjà été impliqué dans l’affaire Ledger
Trezor avait supprimé CryptoBilis de sa liste de revendeurs autorisés le 9 octobre, après la découverte d’appareils Ledger modifiés dans le même circuit de distribution en Asie du Sud-Est.
Ledger avait ensuite confirmé la présence d’implants LTE non autorisés capables de capturer la phrase de récupération affichée durant la configuration. Les ressemblances entre les deux montages renforcent la prudence, sans suffire à confirmer que le Safe 5 a été altéré selon le même procédé.
Une attaque de chaîne d’approvisionnement vise un produit avant son arrivée chez l’utilisateur. L’appareil authentique peut être intercepté, ouvert, modifié puis remis en circulation. Les protections logicielles et la puce sécurisée ne suffisent pas toujours si un composant espion lit directement l’écran.
Le canal d’achat devient une composante de sécurité
L’incident rappelle l’importance de privilégier le site officiel du fabricant ou un distributeur dont l’autorisation peut être vérifiée au moment de l’achat. Un ancien statut de revendeur agréé ne garantit pas qu’un stock particulier soit resté intact.
À la réception, l’utilisateur doit aussi vérifier l’emballage, suivre la procédure d’authenticité du fabricant et refuser tout appareil déjà initialisé ou accompagné d’une phrase de récupération préimprimée.
Les règles à retenir pour protéger un hardware wallet
- acheter auprès d’un canal officiel ou directement vérifié auprès du fabricant ;
- générer la phrase de récupération sur l’appareil lors de la première configuration ;
- ne jamais utiliser une seed fournie sur papier, par courriel ou dans l’emballage ;
- ne jamais communiquer la phrase au support technique, qui n’en a pas besoin ;
- installer uniquement les mises à jour proposées par les outils officiels ;
- considérer toute seed exposée à un appareil suspect comme définitivement compromise.
Une enquête technique encore en cours
L’étape décisive sera l’arrivée du Safe 5 dans les laboratoires de Trezor. L’analyse devra déterminer si le montage est réellement fonctionnel, comment il accède au flux d’affichage et par quel réseau les informations pourraient être transmises.
Elle permettra également de comparer les composants avec ceux observés dans les appareils Ledger concernés et de préciser l’ampleur éventuelle de la compromission au sein de la chaîne CryptoBilis.
Ce que le secteur surveillera désormais
Les prochaines mises à jour devront confirmer ou infirmer le fonctionnement de l’implant, identifier les lots potentiellement exposés et établir si d’autres modèles ou revendeurs sont concernés.
Au-delà de ce cas, l’incident devrait accélérer le renforcement des contrôles chez les distributeurs : traçabilité des stocks, détection des ouvertures, audits physiques et procédures strictes pour les retours clients.
