Trezor juge crédible la découverte d'un mouchard dans l'un de ses portefeuilles de cryptomonnaies

En ouvrant son portefeuille de cryptomonnaies, un acheteur indonésien remarque une pièce qui n'a rien à faire là. Entre la carte principale et l'écran de son Trezor Safe 5 se trouve un second circuit imprimé, équipé d'un module cellulaire et d'une antenne. Le 28 octobre, il le signale à l'équipe de sécurité de Trezor, le fabricant tchèque de portefeuilles matériels. Le 30 octobre, Trezor publie une alerte.

L'appareil a été acheté en août 2026 chez CryptoBilis, sur la plateforme Tokopedia. Ce nom est déjà connu. Ce revendeur d'Asie du Sud-Est est au cœur de l'affaire révélée début octobre par Ledger, qui avait confirmé un implant matériel dans un portefeuille vendu par CryptoBilis.

Que ferait ce circuit ?

Selon l'acheteur, l'implant lirait ce qui s'affiche à l'écran, y compris la phrase de récupération. Ces quelques mots permettent de reconstituer le portefeuille et donc de vider les fonds. Le circuit enverrait ensuite ces données par le réseau mobile dès que l'appareil est branché. Trezor souligne qu'il n'a pas encore vérifié ces éléments : l'entreprise organise l'envoi de l'appareil vers son laboratoire.

L'entreprise juge pourtant le signalement « crédible », au vu des photos, d'un entretien vidéo avec l'acheteur et de sa description. Elle dit n'avoir connaissance d'aucun vol de fonds par ce biais : l'acheteur avait déplacé les siens avant de découvrir le circuit. Trezor ignore qui a posé l'implant et refuse, à ce stade, de comparer l'affaire à celle de Ledger. Son alerte indique pourtant que l'implant semble fonctionner comme ceux trouvés dans des appareils Ledger.

Un revendeur déjà écarté

Trezor avait retiré CryptoBilis de son réseau le 9 octobre, par précaution, avant tout signe que ses propres appareils étaient touchés. Le même jour, Ledger ouvrait son enquête sur des pertes de fonds chez des clients de ce revendeur. Trezor dit avoir depuis restreint la liste de ses revendeurs autorisés.

Votre appareil vient-il de CryptoBilis ?

L'alerte vise tous les achats faits chez CryptoBilis à partir de mars 2026, quel que soit le modèle, y compris dans les boutiques qui revendaient ses appareils, comme sa boutique Tokopedia. Trezor recommande de :

• ne pas configurer un appareil encore neuf, et n'y saisir aucune sauvegarde existante ;
• si l'appareil est déjà utilisé, transférer les fonds au plus vite vers un nouveau portefeuille créé avec une nouvelle phrase de récupération : restaurer l'ancienne sur un autre appareil ne protège pas ;
• vérifier l'adresse de réception en entier avant chaque envoi ;
• ne pas se fier à la pesée ni à l'ouverture de l'appareil, qui ne détectent pas une modification de façon fiable ;
• garder l'appareil : les acheteurs éligibles peuvent obtenir un remplacement ou un bon d'achat auprès du support.

Trezor ne demande jamais la phrase de récupération : tout message qui la réclame, au nom de cette affaire, est une escroquerie. L'analyse du boîtier, promise à son arrivée, dira si l'implant existe et s'il ressemble à celui de Ledger.