Trezor : trois Safe 5 piégés sur 48 inspectés, firmware 2.13.1 publié

Trezor a publié le 12 novembre 2026 le bilan de son enquête sur les portefeuilles compromis vendus par le revendeur sud-asiatique CryptoBilis. Sur 48 appareils examinés en laboratoire ou sur photos à la demande de clients inquiets, trois Trezor Safe 5 contenaient un circuit malveillant équipé d'un module cellulaire capable de capter la phrase de récupération affichée à l'écran. Trezor a dans le même mouvement publié le firmware 2.13.1 (11 novembre) et réduit son réseau de revendeurs d'environ 80 %. Primaire : Trezor Blog. Secondaire : Cryptoast.

Les chiffres

• Appareils inspectés : 48, à la demande de clients CryptoBilis inquiets. Contrôle en laboratoire ou sur photos. Contrôles toujours en cours à la date de publication.
• Appareils compromis : 3, tous des Trezor Safe 5.
• Fenêtre de vente : du 20 août au 23 septembre 2026, via la boutique Tokopedia de CryptoBilis, sa boutique Shopee, et des ventes directes.
• Modèles non touchés : Safe 3, Safe 7 et appareils d'autres revendeurs. Aucun implant détecté.
• Firmware : 2.13.1, publié le 11 novembre, conçu pour bloquer les implants connus.
• Réduction du réseau de revendeurs : environ 80 %.
• Fonds volés recensés à ce jour liés aux trois appareils : aucun signalement.
• Source : trezor.io.

L'implant, en pratique

Le circuit additionnel est glissé entre la carte mère et l'écran du Safe 5 ; sans démontage, il reste invisible. Il ne modifie ni le firmware ni le Secure Element : il se contente d'observer les échanges entre le microcontrôleur et l'écran, repère certaines séquences — en particulier l'affichage de la seed ou d'une passphrase — et chiffre les données capturées avant de les transmettre aux attaquants via un module de communication cellulaire embarqué. En cas d'échec de la transmission, l'implant ressaie.

Avec la seed en main, un attaquant n'a plus besoin de voler l'appareil : il peut rejouer la phrase sur son propre matériel. Trezor compare la méthode à celle des implants déjà observés sur des Ledger par le même acteur.

Ce qui change pour les propriétaires

• Qui est concerné : toute personne ayant acheté un appareil Trezor chez CryptoBilis depuis mars 2026, y compris via Tokopedia et Shopee.
• Programme de remplacement : remplacement gratuit ou remboursement. Trezor recommande, sans attendre le remplacement, de transférer immédiatement les fonds vers un nouveau portefeuille, avec une seed fraîchement générée sur un appareil vérifié.
• Mise à jour firmware 2.13.1 : à installer sur tout Safe 5 déjà en service. Le site Trezor détaille la procédure.

Trezor n'a pas publié de citation nominative d'un cadre dans ce bilan ; l'article est signé « Trezor Team ». L'annonce initiale fin octobre avait été portée par Danny Sanders, Chief Commercial Officer.

Ce qu'il faut surveiller

1. Autres canaux de distribution. Trezor dit n'avoir trouvé d'implant que chez CryptoBilis, mais la coupure du réseau de 80 % montre que la prudence va bien au-delà d'un seul revendeur. Les inspections se poursuivent.
2. Transparence sur la procédure de vérification. Les 48 unités inspectées ont été soumises à l'examen par des clients ; le chiffre réel d'appareils CryptoBilis en circulation reste inconnu.
3. Transferts suspects. À ce jour, aucun vol lié aux trois appareils n'a été signalé publiquement. Une activité sur les adresses associées à des acheteurs CryptoBilis changerait le profil de risque.

Contexte

Cette enquête prolonge l'alerte initiale du 30 octobre, publiée après le signalement d'un client indonésien. C'est le deuxième épisode d'implants matériels documenté cette année sur des hardware wallets grand public, après les cas côté Ledger qui avaient déclenché le retrait de CryptoBilis de la liste des revendeurs autorisés Trezor dès le 9 octobre. L'objet n'est pas une faille du Secure Element ni du firmware : c'est une attaque de chaîne d'approvisionnement, où un acteur intercale un composant entre la fabrication du constructeur et la main de l'acheteur. Les règles de défense sont connues — achat chez le constructeur, vérification à la réception, génération de seed sur un appareil neuf, aucune confiance dans un « dispositif pré-initialisé » — mais trois Safe 5 implantés et vendus depuis mi-2026 montrent que la discipline reste l'exception.