Trezor avertit les acheteurs de CryptoBilis de transférer leurs fonds après la découverte présumée d’un implant

Trezor a exhorté les clients ayant acheté ses portefeuilles matériels auprès de l’ancien revendeur agréé CryptoBilis depuis mars à transférer leurs fonds, après un signalement faisant état d’un implant présumé dans un appareil Safe 5. 

Trezor a déclaré vendredi qu’un client en Indonésie avait signalé la présence d’une carte de circuit imprimé non autorisée à l’intérieur d’un Trezor Safe 5 acheté sur Tokopedia en août. Selon le signalement, l’implant présumé pourrait capturer les informations affichées à l’écran de l’appareil, notamment les phrases de récupération du portefeuille, et les transmettre via un réseau cellulaire.

Trezor a déclaré ne pas encore avoir examiné l’appareil et n’avoir reçu aucun signalement de pertes liées à cette affaire.

« Nous n’avons pas encore eu l’appareil dans notre laboratoire, mais nous considérons le signalement comme crédible et préférons avertir les gens maintenant plutôt que d’attendre une confirmation et de découvrir entre-temps que quelqu’un a perdu ses fonds », a déclaré à Cointelegraph Danny Sanders, directeur commercial de Trezor. 

Un porte-parole de Trezor a déclaré que l’entreprise qualifiait les ventes réalisées par l’intermédiaire de ce revendeur de « très faibles », mais a refusé de fournir des chiffres.

Le porte-parole a ajouté que Trezor n’avait pas établi où la falsification présumée s’était produite et qu’elle examinait ses protections matérielles, reconnaissant que les mesures de protection existantes, notamment les scellés et l’emballage, ne suffisaient pas à elles seules.

Falsification de Ledger et avertissements antérieurs adressés à Trezor

L’avertissement fait suite à des signalements de pertes de cryptomonnaies liées à des portefeuilles Ledger vendus par l’intermédiaire de CryptoBilis apparus le 9 octobre. Ledger a confirmé la présence d’un implant matériel non autorisé dans un appareil.

Le chercheur en sécurité Joe Grand avait précédemment déclaré à Cointelegraph qu’ il avait alerté Trezor en août au sujet de portefeuilles Trezor One et Model T falsifiés achetés auprès de vendeurs non autorisés sur TikTok et Facebook. Trezor a déclaré que son affirmation antérieure selon laquelle aucun élément ne prouvait la compromission d’appareils ne s’appliquait qu’aux nouveaux portefeuilles vendus par des revendeurs agréés.

Trezor avait déclaré à l’époque que ses vérifications de configuration visaient les appareils contrefaits et les micrologiciels modifiés, tandis que l’implant découvert dans un Ledger vendu par CryptoBilis lisait l’écran sans modifier le micrologiciel. Une phrase de récupération volée peut permettre à un attaquant de restaurer un portefeuille sur un autre appareil et d’en transférer les fonds.

Trezor a annoncé des projets visant à réduire son réseau de revendeurs le 13 octobre.

À lire aussi : Des portefeuilles Ledger falsifiés coûtent 2,7 millions de dollars aux utilisateurs de Singapour : la police