Trezor réduit le nombre de ses revendeurs à titre de « mesure préventive » après des signalements de falsification de dispositifs Ledger

Le fabricant de portefeuilles matériels Trezor a annoncé qu’il réduirait le nombre de ses revendeurs à titre de « mesure préventive, prise par excès de prudence », après des signalements indiquant que des implants malveillants avaient été installés dans des dispositifs fabriqués par son concurrent Ledger.

Dans une publication sur X mardi, Trezor a déclaré qu’il n’existait « pas la moindre preuve que [ses] dispositifs aient été compromis », après des signalements selon lesquels des utilisateurs de portefeuilles matériels Ledger avaient découvert des implants malveillants qui exposaient leurs phrases de récupération. 

Toutefois, Trezor a déclaré qu’il réduirait le nombre de ses revendeurs, invoquant des « incidents récents dans la chaîne d’approvisionnement ». Le directeur commercial Danny Sanders a ajouté avoir informé certains revendeurs qu’ils seraient retirés de la liste des entités autorisées de l’entreprise le 1er janvier et qu’ils cesseraient d’expédier des dispositifs Trezor à partir de mardi. 

Source : Danny Sanders, directeur commercial de Trezor

La réaction de Trezor est intervenue quelques jours seulement après que Ledger a confirmé qu’au moins l’un de ses dispositifs acheté par un revendeur d’Asie du Sud-Est contenait un implant matériel non autorisé, pouvant entraîner des pertes de plusieurs millions de dollars pour les utilisateurs. Les portefeuilles, vendus par le revendeur CryptoBilis, capturaient les phrases de récupération et les transmettaient via des réseaux cellulaires.

« Nos contrôles à la mise en place sont conçus pour détecter les dispositifs contrefaits et les micrologiciels modifiés », a déclaré un porte-parole de Trezor à Cointelegraph. « L’implant découvert dans un dispositif acheté auprès de CryptoBilis fonctionne différemment. Il s’agit d’une méthode de falsification unique, qui ne modifie pas le micrologiciel, mais lit les informations affichées à l’écran et les envoie ensuite à l’attaquant. Jusqu’à présent, nous n’avons pas observé ce type précis d’attaque sur des dispositifs Trezor dans le monde réel. » 

À lire aussi : Ledger enquête sur des pertes de fonds liées à un revendeur d’Asie du Sud-Est et met en garde les utilisateurs

Pendant l’enquête, CryptoBilis, un revendeur Trezor autorisé, a suspendu toutes les ventes de portefeuilles matériels. La société mère du distributeur européen d’électronique MediaMarkt a également annoncé avoir retiré tous les produits Ledger de ses magasins physiques et de ses plateformes en ligne « à titre de mesure de précaution ».

Quel montant de fonds d’utilisateurs a été perdu ?

Les enquêteurs de la blockchain cherchent toujours à déterminer l’ampleur des pertes subies par les utilisateurs de portefeuilles matériels, mais les recherches menées par deux personnes ont estimé ce montant entre 72 millions et 86 millions de dollars. Ledger a indiqué mardi ne pas avoir « confirmé le nombre total d’utilisateurs touchés ni la valeur totale perdue » en raison des compromissions.

Le porte-parole de Trezor a conseillé aux utilisateurs d’acheter les produits directement auprès de l’entreprise, de « vérifier que le sceau est intact » et d’envisager un portefeuille multisignature « avec des dispositifs de fabricants différents, afin qu’un seul dispositif compromis ne puisse pas déplacer les fonds de manière autonome ».

Magazine : Les attaques contre Coldcard signifient-elles que tous les portefeuilles matériels sont désormais peu sûrs ?