Trezor, fabricant de portefeuilles matériels pour cryptomonnaies, a annoncé le 30 octobre 2026 examiner le signalement d'un implant caché dans un Trezor Safe 5. L'appareil avait été acheté en août 2026 chez CryptoBilis, ancien revendeur agréé en Asie du Sud-Est. Le fabricant juge le rapport crédible, mais attend l'appareil pour le confirmer en laboratoire. Aucune perte de fonds ne lui a été signalée.

Un signalement crédible, pas encore confirmé

Selon le communiqué de Trezor, relayé par Journal du Coin, son équipe de sécurité a reçu le rapport le 28 octobre 2026. Il est arrivé par le programme de divulgation responsable du fabricant.

Le propriétaire décrit une carte électronique ajoutée entre la carte principale et l'écran. Elle porterait un module cellulaire et une antenne. D'après son témoignage, ce dispositif lirait ce qui s'affiche, dont la phrase de récupération. Il l'enverrait ensuite par le réseau mobile quand l'appareil est branché.

Trezor dispose de photos et a interrogé le client en visioconférence. Seule l'analyse en laboratoire permettra toutefois de confirmer ces éléments. Le client avait déjà déplacé ses fonds avant de découvrir l'implant présumé.

Le fabricant dit avoir examiné quatre autres appareils provenant de CryptoBilis, sans y détecter de manipulation. Il échange avec Ledger et avec SEAL 911, cellule d'intervention d'urgence de la communauté crypto. Il n'attribue pas pour autant les incidents aux mêmes auteurs.

Mark Karpelès, ancien dirigeant de Mt. Gox, a relayé l'alerte. Il propose de couvrir les frais d'envoi d'appareils suspects pour les faire analyser. Cette offre ne remplace pas l'examen attendu par Trezor.

Quels appareils Trezor sont concernés ?

Par précaution, les consignes visent tous les modèles Trezor achetés auprès de CryptoBilis depuis mars 2026. Elles valent aussi pour les boutiques que ce distributeur approvisionnait. Le Safe 5 signalé avait été acheté sur Tokopedia, plateforme de commerce en ligne indonésienne. Trezor avait retiré CryptoBilis de son réseau de revendeurs agréés le 9 octobre 2026.

Pour ces appareils, le fabricant donne quatre consignes :

  • Appareil déjà utilisé : transférer rapidement les fonds vers un portefeuille nouvellement créé, avec une nouvelle phrase de récupération. Restaurer l'ancienne phrase sur un autre appareil ne suffit pas si elle a été interceptée.
  • Pas d'autre hardware wallet fiable : passer temporairement par un portefeuille logiciel ou une plateforme d'échange connue de l'utilisateur. L'adresse de réception se vérifie en entier avant le transfert.
  • Appareil encore neuf : ne pas le configurer et n'y saisir aucune phrase existante.
  • Dans tous les cas : garder l'appareil et contacter le support officiel, qui propose un remplacement ou un bon couvrant l'achat d'un nouvel appareil.

Trezor rappelle que son assistance ne demande jamais la phrase de récupération. Il met aussi en garde contre de faux messages qui exploiteraient l'incident.

Ledger, Trezor, Keystone : trois alertes en un mois

L'alerte Trezor suit deux autres affaires de portefeuilles matériels, que 2clics a couvertes en octobre 2026. La première touche Ledger, autre fabricant de portefeuilles matériels, dont des appareils piégés ont été vendus par CryptoBilis. La seconde vise Keystone, fabricant de hardware wallets sans lien avec l'agence de presse suisse Keystone-ATS.

FabricantCe qui est en causeStatutFonds
LedgerComposants greffés dans des appareils authentiques, revendus en Asie du Sud-EstConfirmé par Ledger, qui parle d'une « attaque localisée sur la distribution »102 millions de dollars siphonnés sur 324 wallets selon Bitquery au 15 octobre, chiffre ni confirmé ni contesté par Ledger
TrezorUn implant présumé dans un Safe 5 acheté chez CryptoBilisSignalement jugé crédible, analyse en laboratoire attendueAucune perte signalée au fabricant
KeystoneVol de la clé qui authentifie les appareils, après une intrusion sur la boutique en ligneAnnoncé par Keystone le 26 octobre 2026Fonds non exposés selon Keystone ; 18'835 appareils en stock détruits

Selon Ledger, un « groupe criminel très organisé » a ouvert des appareils authentiques pour y ajouter des composants. Le fabricant affirme que sa puce, son système d'exploitation et ses serveurs sont restés intacts. Chez Trezor, rien de tel n'est établi à ce stade : un seul signalement crédible, sans confirmation en laboratoire.

Ce que l'acheteur en Suisse doit vérifier

Aucune des sources ne mentionne d'appareil Trezor touché en Suisse. CryptoBilis opérait comme revendeur agréé en Indonésie, en Malaisie et aux Philippines, selon les informations reprises par 2clics dans l'affaire Ledger. En l'état, un acheteur en Suisse n'est concerné que si son appareil provient de ce distributeur.

Le canal d'achat

L'origine du stock compte autant que le nom du vendeur. Les consignes de Trezor visent en effet aussi les boutiques approvisionnées par CryptoBilis. Notre analyse : un appareil acheté d'occasion ou sur une place de marché, sans provenance connue, mérite les mêmes précautions. Ledger indique de son côté que ses contrôles en magasin et en entrepôt en Europe n'ont trouvé aucune unité modifiée.

Les scellés et le boîtier

Un emballage d'apparence intacte ne suffit pas à rassurer. Trezor déconseille de peser ou d'ouvrir le boîtier : selon lui, ces vérifications ne permettent pas d'exclure une altération. Dans l'affaire Ledger, les appareils piégés étaient d'ailleurs des appareils authentiques, ouverts puis remis en circulation.

Le contrôle d'authenticité

Le contrôle d'authenticité se fait dans l'application officielle du fabricant, jamais sur une page reçue par e-mail. Après les implants Ledger, une campagne de phishing imitait justement ce contrôle pour réclamer les 24 mots, selon la société de sécurité SlowMist. Le cas Keystone montre une autre limite : avec la clé volée, un clone pourrait passer le test du site officiel, explique Journal du Coin.

Pour la sécurité d'un portefeuille crypto, une règle tient quel que soit le modèle. Ledger la formule ainsi : la phrase de récupération ne se saisit que sur l'appareil, jamais sur un ordinateur, un téléphone ou une page web. Ni Trezor ni Ledger ne la demandent par leur support.

Ce qu'on ne sait pas encore

  • Si l'analyse en laboratoire confirmera la carte ajoutée que décrit le propriétaire.
  • Combien d'appareils Trezor CryptoBilis a vendus depuis mars 2026 : le communiqué ne donne aucun chiffre.
  • Si les incidents Ledger et Trezor ont les mêmes auteurs : Trezor ne les leur attribue pas.
  • Si le contrôle d'authenticité de Trezor aurait repéré une carte ajoutée entre la carte principale et l'écran : le communiqué n'en dit rien.
  • Si des appareils Trezor modifiés ont circulé hors d'Asie du Sud-Est.

Sources