Trezor identifie un implant dans trois Safe 5 vendus par CryptoBilis

Trezor confirme l'implant dans trois Safe 5 vendus par CryptoBilis

Dans un billet publié le 12 novembre 2026, Trezor indique que trois portefeuilles matériels Trezor Safe 5 achetés chez CryptoBilis contiennent un implant, dont celui qui lui avait été signalé en octobre. Le laboratoire du fabricant a examiné ce premier appareil ; les deux autres ont été identifiés à partir des photos envoyées par leurs propriétaires.

Selon Trezor, les trois appareils ont été achetés sur les boutiques de CryptoBilis présentes sur les places de marché Tokopedia et Shopee, ou directement auprès du revendeur. D'après le fabricant, aucun des trois propriétaires n'a perdu de fonds.

Trezor vérifie en laboratoire, ou sur photos des composants internes, les appareils des clients de CryptoBilis qui l'ont contacté. Selon le fabricant, les implants se limitent à ce stade aux Safe 5 achetés chez CryptoBilis : aucun n'a été trouvé chez un autre revendeur ni dans un autre modèle Trezor. Le billet ne donne pas le nombre total d'appareils Trezor vendus par CryptoBilis.

Les principales données publiées par Trezor les 11 et 12 novembre 2026 :

Donnée	Valeur	Date	Source
Safe 5 contenant l'implant	3 appareils	12 novembre 2026	Trezor, billet de blog
Période d'achat des appareils concernés	du 20 août au 23 septembre 2026	12 novembre 2026	Trezor, billet de blog
Clients de CryptoBilis ayant contacté Trezor	48	12 novembre 2026	Trezor, billet de blog
Version du firmware protecteur	2.13.1	publiée le 11 novembre 2026	Trezor, billet de blog
Réduction du réseau de revendeurs	environ 80 %	annoncée le 12 novembre 2026	Trezor, billet de blog
Achats chez CryptoBilis éligibles au remplacement	à partir de mars 2026	12 novembre 2026	Trezor, billet de blog

L'implant copie l'écran comme ceux trouvés dans des appareils Ledger

D'après l'analyse de Trezor, l'implant est une carte électronique ajoutée entre la carte mère et l'écran du Safe 5. Ce circuit copie l'affichage, enregistre les mots de récupération et la passphrase (mot de passe facultatif ajouté à la phrase de récupération), puis les transmet chiffrés par le réseau mobile à un serveur contrôlé par les attaquants.

Trezor précise que l'implant se limite à l'écoute : il ne modifie ni le firmware (logiciel interne de l'appareil) ni le Secure Element, la puce sécurisée du portefeuille. Selon le fabricant, il fonctionne comme les implants découverts dans des appareils Ledger, adapté à l'écran du Safe 5. Trezor ne dit pas qui est derrière l'attaque.

Selon un premier billet de Trezor daté du 30 octobre 2026, Ledger a commencé le 9 octobre 2026 à enquêter sur des pertes de fonds chez des clients de CryptoBilis, son revendeur autorisé en Asie du Sud-Est, et a confirmé que certains appareils avaient été physiquement altérés. Trezor a retiré CryptoBilis de ses revendeurs autorisés le même jour.

Le signalement visant un appareil Trezor date du 28 octobre 2026, selon ce même billet : un client en Indonésie a alerté l'équipe de sécurité de Trezor, par divulgation responsable (signalement confidentiel d'une faille au fabricant), au sujet d'un Safe 5 acheté chez CryptoBilis en août 2026 via Tokopedia.

Trezor publie le firmware 2.13.1 et réduit d'environ 80 % ses revendeurs

Selon Trezor, la version 2.13.1 du firmware empêche les implants trouvés de capter la moindre donnée sur les appareils qui l'exécutent. Le fabricant précise que la mise à jour ne protège pas une sauvegarde de portefeuille capturée avant son installation. Sa consigne aux acheteurs de CryptoBilis reste de transférer leurs fonds vers un nouveau portefeuille, doté d'une nouvelle phrase de récupération.

Trezor a annoncé avoir réduit son réseau de revendeurs d'environ 80 %. Le fabricant affirme que les partenaires retirés étaient fiables et ne présentaient pas de menace immédiate, mais ne correspondaient pas aux processus beaucoup plus stricts désormais imposés aux revendeurs restants. Le billet ne précise ni le nombre ni la liste des revendeurs retirés.

Le billet de Trezor ne fixe aucune échéance pour la suite de l'enquête.

Questions fréquentes

Combien de Trezor Safe 5 contiennent un implant matériel acheté chez CryptoBilis ?

Trois Trezor Safe 5 contiennent l'implant, selon le billet de Trezor du 12 novembre 2026. Ce total inclut l'appareil signalé en octobre, que le laboratoire du fabricant a examiné ; les deux autres ont été identifiés à partir de photos envoyées par leurs propriétaires. Les trois appareils ont été achetés entre le 20 août et le 23 septembre 2026, via les boutiques CryptoBilis sur Tokopedia et Shopee ou directement auprès du revendeur. Trezor indique qu'aucun des trois propriétaires n'a perdu de fonds. À ce stade de l'enquête, le fabricant dit n'avoir trouvé aucun implant chez un autre revendeur ni dans un autre modèle Trezor.

Comment fonctionne l'implant découvert dans les Trezor Safe 5 de CryptoBilis ?

Selon l'analyse publiée par Trezor le 12 novembre 2026, l'implant est une carte électronique ajoutée entre la carte mère du Safe 5 et son écran. Il se limite à l'écoute : il copie ce qui s'affiche à l'écran, reconnaît et stocke les mots de récupération ainsi que la passphrase si elle apparaît, et ne modifie ni le firmware ni le Secure Element. Il chiffre ces données et les envoie par le réseau mobile à un serveur contrôlé par les attaquants. S'il ne peut pas se connecter, il conserve les données et réessaie. Trezor précise qu'il fonctionne comme les implants trouvés dans des appareils Ledger, adapté à l'écran du Safe 5.

Le firmware 2.13.1 de Trezor protège-t-il les appareils achetés chez CryptoBilis ?

Partiellement, selon Trezor. Dans son billet du 12 novembre 2026, le fabricant indique que le firmware 2.13.1, publié le 11 novembre, empêche les implants trouvés de capter quoi que ce soit sur les appareils qui l'exécutent, ce qui rend le lot actuel d'implants inutile. Trezor précise toutefois que la mise à jour ne peut pas protéger une sauvegarde de portefeuille capturée avant son installation. Sa consigne aux acheteurs de CryptoBilis reste donc de déplacer leurs fonds vers un nouveau portefeuille doté d'une nouvelle phrase de récupération (seed).

Quels acheteurs de CryptoBilis peuvent obtenir un Trezor de remplacement ?

Selon le billet de Trezor du 12 novembre 2026, tout client ayant acheté un Trezor chez CryptoBilis à partir de mars 2026 peut recevoir un nouvel appareil. Trezor explique que les règles d'expédition l'empêchent de livrer tous les modèles dans tous les pays : il peut alors proposer un autre modèle avec remboursement de la différence de prix, une livraison à une adresse dans un autre pays, ou un remboursement. Le fabricant demande de conserver l'appareil CryptoBilis et de contacter son support pour organiser le remplacement. Il met aussi en garde contre des escrocs se faisant passer pour Trezor et proposant remplacements ou remboursements.

Quand Trezor a-t-il retiré CryptoBilis de ses revendeurs autorisés ?

Selon le billet de Trezor daté du 30 octobre 2026, le fabricant a retiré CryptoBilis de ses revendeurs autorisés le 9 octobre 2026. Ce jour-là, Ledger a commencé à enquêter sur des pertes de fonds chez des clients de CryptoBilis, son revendeur autorisé en Asie du Sud-Est, et a ensuite confirmé que certains appareils avaient été physiquement altérés lors d'une attaque sophistiquée de la chaîne d'approvisionnement. Trezor indique que CryptoBilis était alors aussi l'un de ses revendeurs autorisés. Le signalement visant un Safe 5 est arrivé plus tard, le 28 octobre 2026, d'un client en Indonésie.