Un Trezor Safe 5 vendu par un revendeur officiel cachait une carte qui lit la phrase de récupération à l’écran

Le 28 octobre, l’équipe de sécurité de Trezor a reçu un signalement via son programme de divulgation responsable des vulnérabilités. Un acheteur indonésien avait trouvé dans son Trezor Safe 5 une carte parasite : placée entre la carte mère et l’écran, elle porte un module cellulaire et une antenne. Selon l’acheteur, la carte lit tout ce qu’affiche l’écran, y compris la sauvegarde du portefeuille — la phrase de récupération — et l’envoie par le réseau mobile chaque fois que l’appareil est branché. Le portefeuille avait été acheté en août chez CryptoBilis — revendeur officiel de Trezor en Asie du Sud-Est jusqu’en octobre — via sa boutique sur la place de marché Tokopedia.

Venons-en à ce qui est confirmé. Trezor écrit ne pas avoir encore reçu l’appareil lui-même ni l’avoir examiné en laboratoire. L’entreprise dispose d’une description, de photos et d’un entretien vidéo avec l’acheteur, et elle a jugé le signalement assez crédible pour avertir ses clients sans attendre l’expertise. Aucun vol parmi les clients de CryptoBilis ne lui a été signalé pour l’instant. L’auteur de la découverte avait lui-même retiré ses fonds de l’appareil avant de trouver la carte. Bilan : une carte dans un portefeuille, et son fonctionnement exact n’est connu, pour l’instant, que par les dires de son propriétaire.

Que faire si votre Trezor a été acheté chez CryptoBilis

Si vous avez acheté un Trezor chez CryptoBilis depuis mars 2026 — directement, sur Tokopedia ou dans un magasin qu’il approvisionnait —, l’entreprise vous conseille de transférer vos fonds au plus vite vers un nouveau portefeuille doté d’une nouvelle phrase de récupération. Restaurer l’ancienne phrase sur un autre appareil ne sert à rien : si elle a déjà été espionnée, la copie du voleur ne disparaîtra pas pour autant. Mieux vaut ne pas configurer un appareil encore inutilisé, et surtout ne jamais y saisir une phrase existante. Trezor promet un remplacement gratuit ou un bon d’achat et demande de conserver le portefeuille acheté chez CryptoBilis, rapporte Help Net Security. L’entreprise déconseille de peser ou d’ouvrir l’appareil : il n’existe aucun moyen fiable de le vérifier soi-même. Et attendez-vous à des e-mails, des appels et même des courriers papier « du support » — le véritable support de Trezor ne demande jamais la phrase de récupération.

Pourquoi le stratagème fonctionne

Inutile ici de casser la puce sécurisée ou le firmware. Il suffit à l’implant que le portefeuille génère lui-même la phrase de récupération et l’affiche sur son propre écran. La suite est simple : acheter ou intercepter un lot d’appareils, ouvrir le boîtier, souder entre la carte et l’écran un module qui lit l’image et sait se connecter au réseau mobile, remonter soigneusement, sceller et vendre par le canal le plus officiel qui soit. Il ne reste plus qu’à attendre que l’acheteur recopie les mots de l’écran sur la fiche fournie dans la boîte et approvisionne le portefeuille. Signature des transactions, puce, application : tout fonctionne comme prévu. L’écran a simplement un second spectateur. La première question à se poser avant d’acheter n’importe quel portefeuille est donc de savoir s’il y a seulement de la place pour un tel spectateur : sur un support sans écran, sans batterie, sans firmware et sans USB, il n’y a nulle part où loger une carte de trop, ni rien pour l’alimenter.

Lors du premier branchement, Trezor vérifie l’authenticité de l’appareil à l’aide de la puce sécurisée et promet de confirmer qu’il est « authentique et non modifié ». Comment la carte indonésienne s’est comportée lors de cette vérification, l’entreprise ne l’a pas encore dit. Mais « la puce est authentique » et « rien n’a été soudé à côté » sont deux affirmations différentes, et personne ne fournit à l’acheteur la réponse à la seconde question.

Les faiblesses qui rendent une telle attaque possible

• L’appareil génère lui-même la phrase de récupération et l’affiche sur son propre écran. Qui voit l’écran voit l’argent.
• Impossible de regarder à l’intérieur. Trezor reconnaît lui-même qu’il n’existe aucun moyen fiable de vérifier l’appareil soi-même, et déconseille de l’ouvrir.
• Le boîtier a assez de place pour une carte de trop, et l’USB l’alimente à chaque branchement.
• Le cœur de la protection est un secure element fermé. Le firmware de Trezor est ouvert, mais ce qui se trouve exactement dans votre exemplaire et ce qu’on y a soudé, l’acheteur ne peut de toute façon pas le vérifier.
• L’acheteur doit faire confiance à tous ceux qui ont tenu la boîte : l’usine, l’entrepôt, le distributeur, le revendeur, la place de marché et le livreur. Le statut de vendeur officiel, on l’a vu, ne garantit rien.
• Rien pour vérifier le matériel : la balance, selon Trezor lui-même, ne prouve rien. Reste la foi.

D’où encore deux ou trois questions à poser avant d’acheter n’importe quel portefeuille. Le support arrive-t-il vierge, pour que vous créiez et chiffriez la clé vous-même, sur votre propre téléphone — et alors peu importe qui a tenu la boîte avant vous ? Peut-on lire ce qu’il contient avec n’importe quelle application NFC et répartir des copies chiffrées sur plusieurs puces bon marché, pour ne pas vouer un culte à un seul bout de matériel ?

L’hologramme comme talisman

L’autocollant holographique mérite une admiration particulière. Sur le Safe 5, il recouvre le port USB, la boîte est emballée sous film, et la notice demande de vérifier que le scellé est intact, sans déchirure ni trace de colle. Les hologrammes s’impriment aujourd’hui sur commande, par lots, et remballer une boîte sous film n’a rien d’un exploit. Surtout, l’implant n’a aucune raison de toucher au port : il vit à l’intérieur, entre la carte et l’écran. L’autocollant dit honnêtement une seule chose : personne ne l’a décollé. Ce qu’il y a sous le capot, il l’ignore et ne peut pas le savoir. Ce n’est pas une protection, c’est un calmant aux reflets irisés.

La confiance dans les deux sens

Au bout du compte, l’acheteur part de deux hypothèses qui s’excluent mutuellement. Le fabricant est tellement plus malin que lui qu’on peut lui confier la création même des clés. Et tous ceux qui ont touché la boîte en chemin sont plus honnêtes — ou plus bêtes — qu’il ne le faudrait pour une substitution. Trezor promet désormais de durcir le contrôle des revendeurs et d’en réduire le nombre. La démarche est juste, mais elle ne fait que restreindre le cercle de ceux à qui il faut faire confiance, sans supprimer la nécessité même de faire confiance.

Seulement, pourchasser CryptoBilis revient à couper les têtes de l’hydre : on ferme une boutique, et trois nouvelles repoussent à sa place. Le problème n’est pas un mauvais vendeur, mais un système qui a besoin d’un vendeur honnête. Quelque part dans votre ville, sur une place de marché locale ou chez un revendeur « de confiance », des portefeuilles piégés sont peut-être en vente depuis longtemps, sans que personne le sache. Ce n’est pas, après tout, une grande surface d’électronique allemande où passent les chercheurs en sécurité. La carte indonésienne n’a été découverte que parce qu’un acheteur s’est montré attentif et a écrit lui-même à Trezor. Combien d’acheteurs comme lui ne se sont pas manifestés, personne ne le sait.

Nous avons récemment passé en revue Tangem et Mitilena, avec leurs avantages et leurs inconvénients. Si vous ne voulez pas dépendre de ceux qui ont tenu la boîte avant vous, choisissez des portefeuilles où vous créez la clé vous-même et où le support arrive vierge : une carte substituée en chemin ne vaut alors plus rien — vous y inscrivez simplement votre propre clé chiffrée. Par exemple, Mitilena.