Trezor retrouve la puce espionne de CryptoBilis dans ses propres portefeuilles, et publie un firmware qui l'aveugle
Le mois dernier, c'était Ledger. Des portefeuilles matériels vendus par CryptoBilis, un revendeur à prix cassés d'Asie du Sud-Est, contenaient une puce cachée qui copiait la phrase de récupération du propriétaire et l'envoyait par le réseau mobile. Trezor confirme aujourd'hui que certains de ses portefeuilles ont subi le même sort.
Dans une mise à jour datée du 12 novembre, Trezor indique que trois Safe 5 achetés chez CryptoBilis entre le 20 août et le 23 septembre renfermaient un circuit imprimé supplémentaire, glissé entre la carte mère et l'écran. Ce circuit ne touche ni au firmware ni à la puce sécurisée. Il se contente de lire l'affichage, qui montre pendant la configuration ou la restauration chaque mot de récupération et l'éventuelle passphrase, chiffre ce qu'il voit et l'envoie à un serveur par le réseau mobile. Quarante-huit clients de CryptoBilis se sont manifestés à ce jour, aucun des trois propriétaires n'a signalé de perte, et Trezor n'a trouvé aucune trace de manipulation dans le stock de ses autres revendeurs.
La nouveauté, c'est une parade, en quelque sorte. Le firmware 2.13.1, publié le 11 novembre, comprend une protection qui, selon Trezor, empêche les implants identifiés de capturer quoi que ce soit, et The Hacker News précise qu'elle couvre les Safe 7, Safe 5, Safe 3 et Model T. Elle ne peut rien pour une phrase déjà capturée. Si vous avez acheté chez CryptoBilis, faites donc la mise à jour, puis transférez quand même vos cryptomonnaies vers un nouveau portefeuille avec une phrase de récupération toute neuve. Trezor remplace tout appareil acheté chez ce revendeur depuis mars 2026 et a supprimé environ 80 % de ses revendeurs dans le monde. L'entreprise prévient aussi que des escrocs se font passer pour son support : ne passez que par trezor.io/support, et considérez toute personne qui vous demande vos mots de récupération comme un voleur.
Le firmware s'installe depuis Trezor Suite ; pour les autres programmes d'un PC Windows, les mises à jour d'applications de Tendvane via winget s'occupent de la même corvée.