Trezor avertit les acheteurs du revendeur CryptoBilis après le signalement d’un implant caché

Trezor fabrique des portefeuilles matériels, de petits appareils qui gardent hors ligne les clés donnant accès aux cryptomonnaies de leur propriétaire. Le 30 octobre 2026, l’entreprise a averti qu’un client avait signalé un implant caché dans un Trezor Safe 5 acheté chez CryptoBilis, un revendeur d’Asie du Sud-Est. Trezor n’a pas encore examiné l’appareil, mais elle juge le signalement crédible. Si vous avez acheté un Trezor chez CryptoBilis, voici ce qu’il faut savoir.

Ce qui s’est passé

Dans son avis (en anglais), Trezor dit avoir reçu le 28 octobre un signalement responsable au sujet d’un Safe 5 acheté chez CryptoBilis en août 2026 sur la plateforme Tokopedia. Le client, en Indonésie, a décrit une carte électronique ajoutée entre la carte principale et l’écran, avec un module cellulaire et une antenne. Selon le signalement, que Trezor dit ne pas avoir vérifié, cette carte lit ce qu’affiche l’écran, y compris la sauvegarde du portefeuille (la phrase de récupération), et l’envoie par un réseau mobile chaque fois que l’appareil est branché.

Trezor dit avoir vu des photos et interrogé la personne par vidéo, et que son équipe de sécurité examinera l’appareil à son arrivée. L’entreprise dit qu’aucun acheteur de CryptoBilis ne lui a signalé de perte de fonds, et que le client qui a trouvé l’implant avait déjà déplacé ses fonds.

CryptoBilis était un revendeur officiel de Trezor et de Ledger. Trezor dit que Ledger a commencé le 9 octobre à enquêter sur des pertes de fonds chez des clients ayant acheté chez CryptoBilis, puis a confirmé que certains de ces appareils avaient été physiquement trafiqués. Trezor a retiré CryptoBilis de ses revendeurs le même jour, avant d’avoir le moindre signe que ses propres appareils étaient en cause. Trezor dit qu’elle ne comparera pas les deux affaires tant que les enquêtes sont en cours et qu’elle ne sait pas qui est derrière tout ça.

Ce que ça signifie pour vous

Un portefeuille matériel n’est sûr que si le chemin qu’il a pris pour arriver jusqu’à vous l’est aussi. Ce signalement concerne un seul appareil d’un seul revendeur, et Trezor dit n’avoir reçu aucun signalement visant un autre revendeur. Malgré tout, quiconque a acheté chez CryptoBilis depuis mars 2026 est invité à agir comme si son appareil n’était pas fiable.

Ce que vous pouvez faire

Si vous avez acheté n’importe quel modèle Trezor chez CryptoBilis à partir de mars 2026, y compris dans sa boutique Tokopedia :

1. Si vous l’utilisez, déplacez vos fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération dès que possible. Trezor dit que restaurer l’ancienne phrase sur un autre appareil ne règle pas le problème, puisque la phrase elle-même pourrait avoir été exposée.
2. Si vous ne l’avez pas configuré, ne le faites pas. Et n’y entrez jamais votre phrase de récupération actuelle.
3. N’essayez pas de le vérifier vous-même. Trezor dit que peser ou ouvrir l’appareil n’est pas une vérification fiable.
4. Communiquez avec le soutien de Trezor pour un remplacement. Trezor dit que ces acheteurs peuvent obtenir un nouvel appareil ou un bon d’achat. Gardez l’appareil acheté chez CryptoBilis.
5. Ne communiquez jamais votre phrase de récupération à qui que ce soit. Trezor dit que son soutien ne la demandera jamais, et s’attend à ce que des fraudeurs utilisent cette nouvelle dans de faux courriels, lettres et appels.

Comment Frame peut aider

Frame tient un catalogue des fuites et incidents connus. Ajoutez ceux qui vous touchent à une adresse courriel vérifiée : Frame montre ce que chacun a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• Trezor, Implant reported in a Trezor sold by CryptoBilis (en anglais), 30 octobre 2026
• BleepingComputer, Trezor warns of suspected crypto-theft implant in hardware wallet (en anglais), 30 octobre 2026