Le producteur de portefeuilles matériels Trezor a annoncé la réduction de son nombre de revendeurs comme une « mesure préventive, prise par excès de prudence », suite à des rapports concernant l’installation d’implants malveillants dans des appareils de son concurrent Ledger. Dans un post publié mardi sur X, Trezor a affirmé qu’il n’existait « aucune preuve » que ses appareils aient été compromis, après que des utilisateurs de portefeuilles Ledger aient découvert des implants malveillants exposant leurs phrases de récupération.
Réduction des revendeurs et suspension des expéditions
Trezor a précisé qu’elle allait réduire le nombre de ses revendeurs en raison de « récentes incidents dans la chaîne d’approvisionnement ». Danny Sanders, directeur commercial de Trezor, a informé certains revendeurs qu’ils seraient retirés de la liste des entités autorisées à partir du 1er janvier, et que les expéditions de dispositifs Trezor seraient interrompues dès mardi.
Contexte des incidents de sécurité
Cette réponse de Trezor survient quelques jours après que Ledger a confirmé qu’au moins un de ses appareils, acheté auprès d’un revendeur situé en Asie du Sud-Est, contenait un implant matériel non autorisé. Cela pourrait causer des pertes s’élevant à des millions de dollars pour les utilisateurs. Les portefeuilles vendus par le revendeur CryptoBilis avaient la capacité de capturer des phrases de récupération et de les transmettre à travers des réseaux cellulaires. Un représentant de Trezor a déclaré que leurs vérifications étaient conçues pour détecter les appareils contrefaits et les firmwares modifiés, mais a reconnu que cette méthode de manipulation était unique car elle ne modifiait pas le firmware, mais lisait les informations à l’écran pour les transmettre à l’attaquant.
Mesures préventives et recommandations aux utilisateurs
CryptoBilis, revendeur autorisé de Trezor, a suspendu toutes les ventes de portefeuilles matériels durant l’enquête. De plus, la société mère du détaillant européen MediaMarkt a décidé de retirer tous les produits Ledger de ses magasins physiques et de ses plateformes en ligne en raison de ces incidents. L’étendue des pertes pour les utilisateurs de portefeuilles matériels reste à préciser, des recherches suggérant des montants entre 72 et 86 millions de dollars. Trezor a conseillé aux utilisateurs d’acheter leurs produits directement auprès de la société et de vérifier l’intégrité du sceau, tout en envisageant l’utilisation d’un portefeuille multisignature avec des dispositifs de différents fabricants, afin d’assurer une protection supplémentaire en cas de compromission d’un appareil.