Trezor signale la présence d'un implant espion suspecté dans le portefeuille CryptoBilis

Trezor se retrouve mêlé à l'affaire CryptoBilis. L'entreprise a déclaré sur X qu'un Safe 5 vendu par l'intermédiaire de ce revendeur d'Asie du Sud-Est présente des signes de falsification. Il s'agit du même revendeur dont les portefeuilles Ledger ont été vidés d'un montant estimé entre 72 et 93 millions de dollars au début du mois.

Une précision importante : il ne s’agit pas d’un logiciel tiers. La déclaration de Trezor décrit un problème matériel. Un client indonésien a ouvert son Safe 5 et a découvert une carte électronique supplémentaire entre la carte mère et l’écran, équipée d’un module cellulaire et d’une antenne. Selon son témoignage, cette carte lit le contenu de l’écran, y compris la phrase de récupération, et le transmet via le réseau mobile dès que l’appareil est branché.

Il a acheté le portefeuille en août sur Tokopedia, plateforme où CryptoBilis possède une boutique. Il l'a signalé le 28 octobre via le programme de signalement responsable de Trezor, et avait déjà transféré ses fonds hors de l'appareil avant de découvrir la carte. Trezor affirme qu'aucun acheteur de CryptoBilis ne lui a signalé de perte.

Il y a toutefois une importante réserve : Trezor n’a pas encore vu l’appareil. L’entreprise a jugé le rapport crédible d’après les photos et une interview vidéo du journaliste, et précise que son équipe de sécurité examinera l’unité dès sa réception. Tout ce qui suit repose sur cette information.

Ce que Trezor souhaite que les acheteurs fassent

Toute personne ayant acheté un Trezor auprès de CryptoBilis depuis mars 2026 est invitée à transférer ses fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération et à ne pas réutiliser l'ancienne sauvegarde sur un autre appareil. En l'absence de portefeuille matériel de rechange, Trezor suggère l'utilisation d'un portefeuille logiciel ou d'une plateforme d'échange habituelle comme solution temporaire. Les appareils non configurés doivent rester dans cet état. Les acheteurs concernés peuvent obtenir un remplacement par livraison directe ou un avoir. Trezor leur demande de conserver l'appareil CryptoBilis et de contacter le support.

Trezor s'attend également à des tentatives d'hameçonnage. De faux courriels, lettres et appels téléphoniques sont probables, et l'entreprise rappelle qu'aucun membre du service d'assistance ne vous demandera votre phrase de récupération.

Mark Karpelès, qui analyse publiquement les portefeuilles trafiqués depuis que l'affaire Ledger a éclaté, a renforcé l'avertissement en déclarant : « Ledger n'est pas le seul » et a proposé de prendre en charge les frais d'expédition et d'analyser tout appareil dont les utilisateurs ont des doutes.

Comment le camp de Ledger s'est déroulé

Ledger a ouvert une enquête le 9 octobre suite aux signalements de portefeuilles vidés par des clients de CryptoBilis. Le lendemain, l'entreprise a confirmé la présence d'un implant non autorisé sur l'un des appareils concernés. Le 13 octobre, son équipe de sécurité Donjon a expliqué le fonctionnement de l'implant : celui-ci, logé à l'intérieur du boîtier, lit l'écran. Lors de la configuration, lorsqu'une phrase de 24 mots apparaît, un microcontrôleur la décode et la transmet via LTE grâce à une eSIM préconfigurée. L'élément sécurisé, le système d'exploitation et les signatures des transactions restent intacts, ce qui explique pourquoi un Ledger altéré semble fonctionner normalement.

Il est plus difficile de localiser précisément les fonds. Bitquery a recensé environ 93,2 millions de dollars répartis sur 315 portefeuilles et six blockchains, Specter l'estime à plus de 86 millions de dollars, et tanuki42 à 72 millions de dollars. Zetter avance même le chiffre de 100 millions de dollars. Ledger n'a confirmé aucun de ces montants, mais affirme que toutes les pertes avérées sont liées à CryptoBilis. Selon CoinDesk, Tether a gelé 10 millions de dollars en USDT en lien avec ce vol.

Les dégâts ne se sont pas limités aux clients d'un seul revendeur. MediaMarkt Saturn a cessé de vendre des appareils Ledger dans ses magasins allemands et en ligne après qu'un client a signalé la présence d'un implant. La police de Singapour a également publié un avertissement le 28 octobre concernant les appareils Ledger achetés auprès de certains détaillants locaux. Le PDG de Ledger, Pascal Gauthier, a déclaré qu'il menait lui-même l'enquête.

Le problème de l'absence totale de preuves

La chronologie de Trezor est quelque peu confuse. Selon ses dires, l'entreprise a abandonné CryptoBilis le 9 octobre, jour où les problèmes de Ledger ont commencé. Le 13 octobre, elle a informé ses revendeurs de la fermeture de son réseau, les autorisations prenant fin le 1er janvier 2027, et son directeur commercial, Danny Sanders, a écrit qu'il n'existait « pas la moindre preuve que les appareils Trezor aient été compromis ».

Le même jour, la journaliste Kim Zetter a rapporté que le pirate informatique Joe Grand avait découvert des implants dans deux portefeuilles Trezor et en avait informé l'entreprise dès le mois d'août. L'un était un Model T acheté sur Facebook Marketplace au Canada, l'autre un Trezor One provenant d'une boutique TikTok. Trezor a répondu que Sanders faisait référence à des appareils neufs provenant de revendeurs agréés et que les appareils de Grand étaient des contrefaçons issues de vendeurs non autorisés, une pratique connue contre laquelle l'entreprise met en garde depuis 2022.

Il s'agissait d'un autre type d'attaque. Les puces trafiquées généraient des phrases de récupération préchargées que les attaquants connaissaient déjà. Le rapport CryptoBilis, s'il est confirmé, décrit un implant cellulaire de lecture d'écran du même type que ceux utilisés dans les Ledger, et il est diffusé par un canal autorisé, ce qui correspond précisément à la limite que Trezor affirmait ne pas avoir franchie. Zetter avait prévenu que les cas de vendeurs non autorisés pourraient être un signe avant-coureur.

Ce que personne ne sait encore

Personne n'a révélé l'identité des responsables. On ignore où la falsification a eu lieu : dans l'entrepôt du revendeur, pendant le transport ou plus tôt. Ledger n'accuse pas CryptoBilis de complicité et rien de public ne le prouve. Trezor refuse de se comparer à Ledger tant que son laboratoire n'a pas analysé la carte. L'entreprise indique partager des informations avec Ledger et d'autres enquêteurs, SEAL 911 assurant le support client.

Je reviens sans cesse à l'argument de base d'un portefeuille matériel : vous ne devriez avoir à faire confiance à personne entre l'usine et votre ordinateur. Deux marques ont vu ce principe mis à l'épreuve par le même revendeur, et l'une d'elles attend toujours sa commande.