Trois portefeuilles matériels Trezor compromis par des implants physiques dans la chaîne d’approvisionnement

Le fabricant tchèque Trezor a confirmé la présence d’implants matériels malveillants dans trois portefeuilles Safe 5 vendus par le revendeur indonésien CryptoBilis. Ces circuits imprimés additionnels, insérés entre la carte mère et l’écran, sont capables de capturer la phrase de récupération, les 12 à 24 mots qui protègent l’accès aux fonds, dès qu’elle s’affiche à l’écran, puis de l’exfiltrer via le réseau mobile vers un serveur contrôlé par les attaquants.

L’affaire, documentée par BleepingComputer et The Hacker News, a débuté en octobre lorsqu’un client a signalé un composant suspect à l’intérieur de son appareil. Trezor a examiné l’appareil en laboratoire, identifié deux autres unités compromises grâce aux photographies fournies par leurs propriétaires, et porté le total à trois portefeuilles vendus entre le 20 août et le 23 septembre 2026. Quarante-huit clients de CryptoBilis ont depuis contacté l’entreprise ; les inspections se poursuivent en laboratoire et sur photos. Aucune compromission n’a été détectée chez d’autres revendeurs de la région ni sur d’autres modèles Trezor.

Le mode opératoire est identique à celui découvert chez Ledger quelques semaines plus tôt : un circuit parasite intercalé physiquement, qui ne modifie ni le firmware légitime ni l’élément sécurisé (Secure Element) du portefeuille. Il surveille l’affichage, capture les mots de récupération lors de la création d’une sauvegarde ou de la restauration d’un portefeuille existant, chiffre les données et les transmet par le réseau cellulaire. En l’absence de connexion, il stocke les données et réessaie indéfiniment.

Trezor a publié le 11 novembre le firmware 2.13.1 pour les modèles Safe 7, Safe 5, Safe 3 et Model T. Cette mise à jour neutralise les implants connus en empêchant la capture d’écran pendant l’affichage des phrases sensibles. L’entreprise souligne toutefois que le correctif ne peut protéger une phrase déjà exfiltrée avant la mise à jour. Son conseil aux acheteurs de CryptoBilis depuis mars reste inchangé : transférer les fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération, ne jamais saisir l’ancienne phrase sur un autre appareil, et contacter le support pour un remplacement.

L’incident met en lumière une classe d’attaques encore sous-estimée : la compromission physique de la chaîne d’approvisionnement hardware. Contrairement aux attaques logicielles, ces implants survivent aux réinitialisations, aux mises à jour de firmware et même au remplacement du système d’exploitation. Ils nécessitent un accès physique à la chaîne logistique, fabrication, transport, stockage chez le revendeur, et ciblent spécifiquement les appareils à haute valeur ajoutée comme les portefeuilles matériels, les modules de sécurité matériels (HSM) ou les équipements de télécommunications.

La réponse de Trezor, transparence rapide, analyse en laboratoire, correctif firmware, programme de remplacement, sert de référence. Elle rappelle aussi que la vérification d’intégrité matérielle (hardware attestation), la traçabilité complète de la chaîne logistique et l’inspection physique à la réception restent les seules parades efficaces face à cette menace.

Sources : BleepingComputer, The Hacker News

Sources : BleepingComputer, The Hacker News