Trezor a demandé à tous ceux qui ont acheté l’un de ses portefeuilles chez le revendeur CryptoBilis depuis mars 2026 de transférer leurs fonds vers un nouveau portefeuille doté d’une nouvelle seed, dans un avis publié le vendredi 30 octobre. L’alerte repose sur un seul signalement : un client en Indonésie affirme avoir trouvé un implant matériel dans un Trezor Safe 5, et Trezor n’a pas encore vu l’appareil. Aucun acheteur de CryptoBilis n’a signalé de perte à la société, et son inspection de quatre autres exemplaires vendus par CryptoBilis n’a révélé aucune trace de manipulation.
Trezor n’a pas voulu attendre son laboratoire. « Ce que nous avons vu semble assez sophistiqué pour que nous ayons décidé d’alerter les clients dès maintenant », écrit la société, avant d’ajouter : « Attendre la confirmation du laboratoire laisserait les acheteurs de CryptoBilis exposés entre-temps. »
CryptoBilis est le revendeur d’Asie du Sud-Est au cœur de l’affaire des Ledger piégés, dans laquelle Ledger a confirmé la présence d’un implant le 10 octobre. Lors de notre dernière mise à jour de ce dossier, aucun Trezor piégé n’avait été signalé. CryptoBilis ne s’est pas exprimé dans les sources que nous avons consultées.
Ce que le client affirme avoir trouvé dans son Trezor Safe 5
Le signalement est parvenu à l’équipe de sécurité de Trezor le mercredi 28 octobre, par son programme de divulgation responsable. L’appareil est un Safe 5 acheté en août 2026 chez CryptoBilis via Tokopedia, la place de marché indonésienne. Le client n’a pas été nommé.
Selon le signalement, une carte électronique supplémentaire, dotée d’un module cellulaire et d’une antenne, se loge entre la carte principale et l’écran. Elle lit ce qu’affiche l’écran, y compris la sauvegarde du portefeuille, et l’envoie par le réseau mobile dès que l’appareil est branché. Trezor le dit sans détour : elle n’a pas vérifié cette description.
Les équipes sécurité, matériel et revendeurs de Trezor ont examiné le jour même le signalement, les photos et le reçu, puis ont interrogé le client en visioconférence. La société juge le signalement crédible et organise l’acheminement de l’appareil jusqu’à son laboratoire. Le client a remarqué une différence de poids, indique-t-elle, et avait déjà retiré ses fonds du portefeuille avant de découvrir la carte.
Signalé chez Trezor, confirmé chez Ledger : où en est chaque dossier
Trezor écrit que l’implant « semble fonctionner de manière similaire » à ceux observés dans des appareils Ledger. Elle précise aussi qu’elle ne fera aucune comparaison tant que les enquêtes se poursuivent, car chaque fabricant conçoit son matériel différemment. Les deux dossiers n’en sont pas au même stade.
| Ledger | Trezor | |
|---|---|---|
| Statut | Implant confirmé par Ledger le 10 octobre | Signalement d’un seul client, non confirmé |
| Appareil examiné par le fabricant | Oui, l’équipe Donjon de Ledger a publié ses conclusions le 13 octobre | Non, l’examen en laboratoire est en attente |
| Mécanisme signalé | Lit les 24 mots lors de la configuration et les envoie en LTE via une eSIM | Lit l’écran et envoie les données par le réseau mobile lorsque l’appareil est branché (non vérifié) |
| Pertes | Fonds siphonnés le 9 octobre, estimations de 86 millions à environ 103 millions de dollars, aucun total fourni par Ledger | Aucune signalée à Trezor |
| Réponse du fabricant | Ventes suspendues en Asie du Sud-Est et à Hong Kong, règles pour les revendeurs durcies le 15 octobre | Nouvelle seed pour les acheteurs de CryptoBilis, appareil de remplacement ou bon d’achat |
Qui est concerné par l’alerte de Trezor, et qui ne l’est pas
L’avis s’applique à tous les modèles Trezor achetés chez CryptoBilis depuis mars 2026, alors que le signalement ne porte que sur un seul Safe 5. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il couvre toute boutique approvisionnée par CryptoBilis, ainsi que la boutique Tokopedia du revendeur. Trezor n’explique pas pourquoi elle a retenu mars. OneKey, autre fabricant qui a lâché CryptoBilis, a choisi le même mois : sa déclaration, mise à jour le 12 octobre, propose des remplacements pour les appareils achetés auprès du revendeur depuis le 1er mars.
Trezor affirme n’avoir reçu aucun signalement concernant un autre revendeur. Un appareil acheté sur la boutique officielle ou chez un autre détaillant agréé reste donc hors du champ de cette alerte. Pour un acheteur français, cela signifie que le nom du vendeur sur le reçu est la première chose à vérifier. Ceux qui ne savent plus où ils ont acheté leur appareil peuvent le lire sur le reçu ou interroger le support de Trezor.
Ce que Trezor demande aux acheteurs de CryptoBilis de faire
- Si le portefeuille contient des fonds, créer un nouveau portefeuille avec une nouvelle seed et y envoyer les fonds. Les mots de Trezor : « transférez vos fonds vers un portefeuille nouvellement créé avec une nouvelle seed dès que possible ».
- Ne pas restaurer l’ancienne sauvegarde sur un autre appareil. Si la seed a été copiée, le problème la suit.
- Sans autre portefeuille matériel sûr, Trezor suggère de placer provisoirement les fonds sur un portefeuille logiciel ou une plateforme d’échange que l’on connaît déjà.
- Vérifier l’adresse de réception en entier avant tout envoi.
- Si l’appareil n’a jamais servi, ne pas le configurer, et ne jamais y saisir une sauvegarde existante.
- Conserver l’appareil de CryptoBilis et contacter le support de Trezor. Les acheteurs depuis mars 2026 ont droit à un nouvel appareil expédié par Trezor ou à un bon d’achat couvrant son prix.
Trezor s’attend aussi à ce que des escrocs exploitent l’affaire avec de faux e-mails, des courriers papier et des appels téléphoniques. Son support ne demande jamais de phrase de récupération. Les acheteurs ont de bonnes raisons de prendre ces courriers au sérieux. En août, selon The Block, Trezor a indiqué qu’une faille chez le prestataire d’expédition ShipMonk avait exposé les données d’environ 13 700 clients dans sept pays, dont les États-Unis, le Royaume-Uni et l’Italie, avec des adresses de livraison pour la plupart. En septembre, elle y a ajouté environ 67 000 clients américains. L’avis de Trezor ne relie pas cette faille à CryptoBilis.
Pourquoi la solution est une nouvelle seed, et pourquoi une balance ne prouve rien
Un portefeuille matériel garde ses clés dans une puce, et le Safe 5 embarque un élément sécurisé certifié EAL 6+, comme le détaille notre test du Trezor Safe 5. Cette puce protège ce qu’elle contient. Elle ne peut pas empêcher une carte distincte de lire l’écran au moment où les mots s’affichent pour que le propriétaire les note. Dans l’affaire Ledger, Donjon a constaté que l’implant laissait intacts l’élément sécurisé, le système d’exploitation, les transactions et les signatures. L’attaque contournait la puce.
Quiconque détient une seed copiée peut reconstituer le portefeuille sur son propre matériel, ce qui explique pourquoi changer d’appareil en gardant la seed ne résout rien. Notre guide sur la sécurité de la seed phrase explique comment conserver une nouvelle seed, et les étapes d’un départ propre figurent dans comment configurer un portefeuille matériel. Trezor propose aussi son propre guide pour envoyer des fonds dans Trezor Suite.
Les propriétaires n’ont pas non plus de test à faire chez eux. Trezor déconseille de peser ou d’ouvrir un appareil : de petites différences de poids peuvent avoir d’autres causes, si bien qu’une balance ne peut ni confirmer ni exclure une manipulation, et la société affirme qu’il n’existe aucun moyen fiable pour les propriétaires d’inspecter eux-mêmes un portefeuille.
Quatre appareils CryptoBilis revenus sans anomalie, sur un nombre de ventes inconnu
Les dates de Trezor proviennent d’une chronologie figurant dans son avis. Le 9 octobre, jour où Ledger a ouvert son enquête, Trezor a demandé à CryptoBilis de cesser de vendre tous ses appareils, et affirme que le revendeur s’est exécuté. Elle l’a retiré de son réseau agréé le même jour et a commencé à restreindre ses vendeurs agréés le 13 octobre. Le 14 octobre, elle a demandé aux acheteurs de CryptoBilis de lui envoyer leurs appareils pour inspection.
Quatre sont revenus à partir du 19 octobre : un Safe 7 commandé le 6 avril, deux Safe 5 commandés le 7 juin et un Safe 3 commandé le 4 août. Trezor n’a trouvé aucune trace de manipulation sur aucun d’eux. Le Safe 5 signalé le 28 octobre ne faisait pas partie de ce lot, note Cryptonomist, et les dates concordent : les deux Safe 5 inspectés ont été commandés en juin, celui du signalement a été acheté en août. Trezor n’a pas dit combien d’appareils CryptoBilis avait vendus, et personne hors de la société ne peut donc savoir quelle part ces quatre exemplaires représentent.
Le dossier Ledger reste le seul avec des pertes confirmées
L’enquête de Ledger a commencé le 9 octobre, et le 13 octobre son équipe Donjon a publié le mécanisme. Dans sa réponse du 15 octobre, Ledger a expliqué que les attaquants avaient acheté de vrais appareils pendant de nombreux mois, les avaient ouverts et y avaient installé des composants cachés. Elle n’a publié aucun total de pertes. Les chiffres des chercheurs réunis dans notre dossier Ledger vont de plus de 86 millions de dollars (Specter, 9 octobre) à 102 millions de dollars sur 324 portefeuilles (mise à jour de Bitquery, via Journal du Coin) et plus de 103,4 millions de dollars depuis 530 adresses (YFarmX, via Cointelegraph). Cryptoast y ajoute un décompte d’Arkham de 95,35 millions de dollars sur 1 486 adresses entre le 7 et le 9 octobre. Aucun de ces chiffres n’est vérifié.
Chainalysis a identifié un opérateur d’arnaques parmi les plus grosses victimes, avec 60,3 BTC perdus, soit environ 4,8 millions de dollars à la date de son rapport du 15 octobre. Le 28 octobre, la police de Singapour a recensé au moins deux affaires depuis le 10 septembre et environ 3,5 millions de dollars singapouriens perdus sur des Ledger piégés achetés dans des magasins de la cité-État, qu’elle n’a pas nommés.
Rien ne relie pour l’instant le signalement visant Trezor aux mêmes attaquants. Trezor dit ignorer qui est derrière, et Cryptoast note qu’aucun élément ne lie les deux affaires. Aucune des sources que nous avons lues n’accuse CryptoBilis d’avoir participé, et Trezor indique que le revendeur s’est plié à la demande d’arrêter les ventes. Trezor n’a pas dit à quel maillon de la chaîne le Safe 5 signalé aurait été ouvert.
L’examen en laboratoire de Trezor vient ensuite, sans date fixée
Trezor dit seulement qu’elle examinera l’appareil dès son arrivée. Si la carte est confirmée, Trezor deviendrait la deuxième marque dont un implant est rattaché à ce revendeur. Un résultat négatif disculperait un exemplaire et ferait de la consigne donnée aux acheteurs de CryptoBilis une précaution qu’ils auront déjà prise.
La société indique qu’elle mettra son avis à jour si un acheteur de CryptoBilis signale une perte ou si un autre revendeur est impliqué. Elle travaille avec Ledger et d’autres parties, et remercie SEAL 911, le service d’urgence de la Security Alliance, pour son aide sur ce signalement. Par ailleurs, les revendeurs qu’elle a prévenus dans le cadre de ses coupes du 13 octobre perdront leur agrément le 1er janvier 2027, selon Decrypt.