Trezor met en garde les acheteurs de CryptoBilis après la découverte d'un implant matériel dans le Safe 5

Le fabricant de portefeuilles matériels Trezor a averti les clients ayant acheté ses appareils auprès du revendeur CryptoBilis de transférer leurs fonds, après qu'un acheteur a signalé avoir trouvé un implant matériel à l'intérieur d'un Trezor Safe 5, a déclaré l'entreprise vendredi.

Un client en Indonésie a signalé l'implant via le programme de divulgation responsable de Trezor le 28 octobre, selon un article de blog de l'entreprise. Le Safe 5 a été acheté auprès de CryptoBilis via la plateforme de commerce électronique indonésienne Tokopedia en août 2026.

Le rapport décrit une carte de circuit imprimé supplémentaire installée entre la carte mère de l'appareil et son écran, avec un module cellulaire et une antenne. Selon le rapport, que Trezor a indiqué ne pas avoir vérifié, la carte lit ce que l'écran affiche, y compris la sauvegarde du portefeuille, et l'envoie via un réseau mobile chaque fois que l'appareil est branché.

Trezor n'a pas encore reçu l'appareil, mais a déclaré considérer le rapport comme crédible sur la base de la description du client et d'un entretien vidéo. « Ce que nous avons vu semble suffisamment sophistiqué pour que nous ayons décidé d'avertir les clients dès maintenant », a-t-il déclaré. « Attendre la confirmation du laboratoire laisserait les acheteurs de CryptoBilis exposés entre-temps. »

Aucun acheteur de CryptoBilis n'a signalé de perte de fonds à Trezor, a indiqué l'entreprise.

Trezor a exhorté toute personne ayant acheté l'un de ses portefeuilles auprès de CryptoBilis à partir de mars 2026 à transférer ses fonds vers un portefeuille nouvellement créé avec une nouvelle phrase de récupération dès que possible, et à ne pas réutiliser l'ancienne phrase sur un quelconque appareil. Les acheteurs qui n'ont pas encore configuré leur appareil ne doivent pas l'utiliser. Les clients concernés peuvent conserver leur appareil CryptoBilis et contacter le support Trezor pour un remplacement.

L'incident CryptoBilis

Trezor a retiré CryptoBilis de la liste de ses revendeurs le 9 octobre, après que le fabricant concurrent de portefeuilles matériels Ledger a commencé à enquêter sur des pertes subies par des clients ayant acheté ses appareils auprès de ce revendeur d'Asie du Sud-Est. Trezor a depuis inspecté quatre de ses appareils achetés auprès de CryptoBilis, un Safe 7, deux Safe 5 et un Safe 3, et n'a trouvé aucune preuve de falsification.

L'équipe de sécurité Donjon de Ledger a découvert un implant dans des appareils Ledger vendus via CryptoBilis qui lit la phrase de récupération de 24 mots à l'écran pendant la configuration et l'envoie par LTE. Le blog de Trezor indique que l'implant récemment signalé "semble fonctionner de manière similaire", bien que l'entreprise ait ajouté qu'elle ne fera pas de comparaisons tant que les enquêtes sont en cours et qu'elle ne sait pas qui en est à l'origine.

Ledger a déclaré que toutes les pertes confirmées concernent des appareils achetés auprès de CryptoBilis, et a demandé aux revendeurs de sept marchés asiatiques de retirer ses appareils. L'une des plus grandes victimes était un escroc qui a perdu plus de 60 BTC, d'une valeur d'environ 4,8 millions de dollars, selon la société d'analyse blockchain Chainalysis.