Trezor alerte sur un implant cellulaire caché dans un Safe 5 vendu par CryptoBilis

Trezor a publié le 30 octobre 2026 une alerte à destination de ses clients ayant acheté un appareil chez le revendeur sud-asiatique CryptoBilis depuis mars 2026, y compris via sa boutique Tokopedia. Un acheteur indonésien a signalé qu'un Trezor Safe 5 acquis en août contenait une carte supplémentaire équipée d'un module cellulaire et d'une antenne, insérée entre la carte mère et l'écran, capable de lire le contenu affiché — dont la phrase de récupération — et de le transmettre par le réseau mobile. Communiqué officiel : Trezor Blog. Reprise FR : Cryptoast.

Les faits

• Modèle visé : Trezor Safe 5, acheté en août 2026 sur Tokopedia auprès de CryptoBilis.
• Signalement : reçu par Trezor le 28 octobre 2026 via son programme de divulgation responsable. Le client avait déjà déplacé ses fonds avant de découvrir l'implant.
• Nature de l'implant (description du signalant, non vérifiée indépendamment par Trezor au moment de la publication) : « une carte électronique supplémentaire placée à l'intérieur du Trezor Safe 5 », entre la carte principale et l'écran, dotée d'un module cellulaire et d'une antenne.
• Capacité technique prêtée au dispositif : lecture de l'écran — y compris de la phrase de récupération affichée lors d'une restauration ou d'une sauvegarde — et transmission par réseau mobile lorsque l'appareil est allumé.
• Fonds volés signalés : aucun à la date du communiqué.
• Scope temporel : l'alerte Trezor couvre tous les appareils vendus par CryptoBilis depuis mars 2026.

Historique du revendeur

• Mars 2026 : les premières ventes CryptoBilis documentées entrent dans le périmètre de l'alerte.
• 7 au 9 octobre 2026 : Arkham Intelligence trace environ 95,35 millions de dollars de fonds présumés volés, répartis sur 1 486 adresses, dans un épisode précédent lié à des wallets Ledger. Ledger n'a pas confirmé ces chiffres.
• 9 octobre 2026 : Trezor retire CryptoBilis de son réseau de revendeurs agréés. Ledger ouvre à son tour une enquête sur des cas similaires.
• 28 octobre 2026 : signalement du client indonésien à Trezor.
• 30 octobre 2026 : communiqué officiel de Trezor.

Consignes de Trezor pour les acheteurs CryptoBilis

Reprises textuellement du billet officiel :

1. Créer immédiatement un nouveau portefeuille avec une nouvelle phrase de récupération sur un appareil non suspect, et y transférer les fonds. Trezor précise : « restaurer la phrase actuelle sur un autre appareil ne résout pas le problème » — la phrase a pu être lue avant.
2. Ne pas configurer un appareil CryptoBilis encore vierge, et ne jamais y saisir une sauvegarde de wallet existante.
3. Ne pas ouvrir ni peser l'appareil pour chercher un implant — Trezor juge ces vérifications non fiables.
4. Conserver l'appareil suspect pour le support, qui propose un remplacement direct ou un bon d'achat couvrant le coût d'un nouvel appareil, selon l'éligibilité.
5. Jamais partager la phrase de récupération, s'attendre à des tentatives de phishing post-communiqué.

Mécanique — pourquoi un implant d'affichage casse le modèle de sécurité

Le modèle de sécurité d'un hardware wallet repose sur deux hypothèses :

• Les clés privées ne quittent jamais le secure element.
• L'écran du wallet est une sortie fiable vers l'utilisateur, permettant de vérifier l'adresse et le montant avant la signature.

Un implant physique entre la carte mère et l'écran peut casser la seconde hypothèse de deux manières :

• Exfiltration de la sauvegarde : lors d'un setup ou d'une restauration, les 12 ou 24 mots sont affichés en clair. Le circuit lit l'image envoyée à l'écran et la transmet par cellulaire.
• Modification de l'affichage (non évoquée par Trezor à ce stade mais possible dans ce type de hardware tampering) : l'implant pourrait substituer une adresse de destination à l'écran, l'utilisateur signant alors une transaction différente de celle qu'il croit valider.

Les secrets stockés dans le secure element restent protégés contre une extraction logicielle, mais la chaîne d'affichage/signature devient un vecteur d'exfiltration suffisant pour compromettre les fonds. C'est précisément la raison pour laquelle les constructeurs recommandent une chaîne d'approvisionnement maîtrisée et un revendeur agréé.

Que surveiller

1. Confirmation technique du module par Trezor (démontage, analyse hardware). Le communiqué précise que l'appareil n'a pas encore été examiné par les équipes.
2. Portée réelle de l'opération : nombre d'unités impliquées, canaux de distribution additionnels (hors Tokopedia), autres marques potentiellement visées par le même revendeur.
3. Mouvements de fonds éventuels associés aux adresses des victimes CryptoBilis, à relier aux 1 486 adresses identifiées par Arkham dans l'épisode Ledger d'octobre.
4. Avis officiel équivalent côté Ledger, dont l'enquête ouverte le 9 octobre pourrait aboutir à un périmètre élargi ou à l'identification d'un acteur commun.

Contexte

Cet épisode arrive moins d'un mois après l'alerte Ledger d'octobre sur des wallets contrefaits distribués dans la même région, et confirme un déplacement du vecteur d'attaque vers la supply chain physique des wallets matériels — un angle qui restait marginal face aux attaques logicielles depuis les cas d'implants USB sur SafePal et Keystone en 2023-2024. La règle opérationnelle n'a pas changé : acheter uniquement auprès du fabricant ou d'un revendeur officiel listé, et vérifier l'intégrité d'emballage selon la procédure du constructeur avant toute saisie de phrase de récupération. Pour les détenteurs d'un appareil issu d'un canal non vérifié, le réflexe reste identique : générer une nouvelle phrase sur un appareil sain et transférer les fonds, pas restaurer l'ancienne sauvegarde.