Trezor piégé : un implant signalé dans un Safe 5 vendu par CryptoBilis, ce qu'il faut faire

Trezor a publié le 30 octobre 2026 une alerte sur un Trezor Safe 5 qui contiendrait un implant espion. L'appareil a été acheté chez CryptoBilis, le revendeur d'Asie du Sud-Est déjà au cœur de l'affaire des Ledger piégés. Trezor n'a pas encore examiné l'appareil, mais juge le signalement crédible. Aucune perte de fonds n'a été signalée à ce jour. Si vous avez acheté un Trezor chez CryptoBilis depuis mars 2026, Trezor vous demande de transférer vos fonds.

Il y a trois semaines, nous racontions comment des Ledger piégés vendus par CryptoBilis avaient permis de vider plus de 300 portefeuilles. Cette fois, c'est la deuxième grande marque de hardware wallets qui est concernée, par le même revendeur. La leçon dépasse donc largement une marque : elle porte sur la façon dont vous achetez votre appareil.

Ce que Trezor a annoncé

Les dates permettent de comprendre comment l'affaire s'est construite :

• 9 octobre : Ledger commence à enquêter sur des vols liés à des appareils vendus par CryptoBilis. Trezor retire le jour même ce revendeur de sa liste de vendeurs agréés, par précaution, et commence à examiner des appareils de clients.
• 13 octobre : selon The Block, Trezor annonce à ses partenaires une réduction de son réseau de revendeurs agréés. Trezor dit alors n'avoir reçu aucun signalement d'appareil modifié vendu par CryptoBilis.
• 28 octobre : l'équipe de sécurité de Trezor reçoit le signalement d'un client indonésien, qui affirme avoir trouvé un implant dans son Trezor Safe 5.
• 30 octobre : Trezor rend l'affaire publique sur son blog, avec ses consignes.

L'appareil concerné est un Trezor Safe 5 acheté chez CryptoBilis en août 2026, via la plateforme de vente en ligne indonésienne Tokopedia.

Comment l'implant fonctionnerait

D'après la description du client, rapportée par Trezor, une carte électronique supplémentaire était logée à l'intérieur du boîtier, entre la carte principale et l'écran. Elle comportait un module de téléphonie mobile et une antenne.

Son rôle supposé : lire ce qui s'affiche à l'écran, y compris la phrase de récupération montrée lors de la configuration, puis l'envoyer par le réseau mobile dès que l'appareil est branché. Avec cette phrase, un attaquant peut recréer le portefeuille sur n'importe quel autre appareil et le vider quand il le souhaite.

Trezor note que cet implant semble fonctionner comme ceux trouvés dans les Ledger. Le principe est le même : l'attaquant ne cherche pas à casser la puce de sécurité. Il regarde l'écran au seul moment où la phrase de récupération apparaît en clair.

Ce qui est confirmé, et ce qui ne l'est pas

C'est une affaire en cours. Voici où passe la ligne à ce jour :

• Confirmé par Trezor : un signalement a été reçu le 28 octobre, Trezor le juge crédible, et l'appareil a été acheté chez CryptoBilis.
• Pas encore vérifié : l'implant lui-même. Trezor a vu les photos et interrogé le client en visioconférence, mais n'a pas encore reçu l'appareil dans son laboratoire. L'entreprise dit clairement ne pas avoir vérifié le signalement elle-même.
• Aucune perte signalée : aucun client de CryptoBilis n'a signalé à Trezor de fonds perdus. Le client qui a fait la découverte avait déjà déplacé ses fonds.
• Pas d'autre cas connu : selon The Block, Trezor a examiné quatre autres appareils de clients et n'y a trouvé aucune trace de modification.

Autrement dit, la situation est différente de celle de Ledger, où des vols ont bien eu lieu, estimés entre 86 et 93 millions de dollars par les analystes on-chain. Côté Trezor, il s'agit pour l'instant d'un signalement crédible, sans victime connue.

Que faire si vous avez un Trezor

Si vous l'avez acheté chez CryptoBilis depuis mars 2026

Suivez les consignes de Trezor :

1. Transférez vos fonds au plus vite vers un nouveau portefeuille, avec une nouvelle phrase de récupération. Saisir l'ancienne phrase sur un autre appareil ne règle rien : si elle a été lue, elle reste compromise.
2. Si vous n'avez pas d'autre hardware wallet sûr, Trezor conseille de transférer temporairement les fonds vers un portefeuille logiciel ou une plateforme que vous connaissez. Vérifiez l'adresse de réception en entier avant d'envoyer.
3. Si l'appareil n'est pas encore configuré, ne l'initialisez pas, et n'y saisissez jamais une phrase de récupération existante.
4. Demandez un remplacement. Trezor propose aux acheteurs CryptoBilis depuis mars 2026 un nouvel appareil, expédié directement, ou un bon d'achat. Gardez l'ancien appareil et votre preuve d'achat, et contactez le support.

La consigne vaut pour tous les modèles Trezor achetés chez ce revendeur, pas seulement le Safe 5.

Si vous l'avez acheté sur le site officiel de Trezor

Rien ne vous concerne à ce stade. Aucun signalement ne vise les ventes directes du fabricant.

Si vous l'avez acheté ailleurs

Marketplace, magasin d'électronique, revendeur en ligne, occasion : Trezor ne demande rien aux autres acheteurs. Mais posez-vous la même question qu'après l'affaire Ledger : combien vaut ce qui dort sur cet appareil ? Si c'est une somme que vous ne pourriez pas perdre sans conséquence, passer sur un appareil acheté directement chez le fabricant, avec une nouvelle phrase de récupération, est une assurance raisonnable.

Ne comptez pas sur la balance

Le client qui a découvert l'implant avait remarqué une différence de poids. Trezor est pourtant clair : la pesée n'est pas un test fiable, et il n'existe pas de moyen sûr d'inspecter soi-même un appareil. Un poids normal ne prouve donc rien. La seule vraie protection est en amont : savoir d'où vient l'appareil.

Méfiez-vous des faux messages

Comme après chaque affaire médiatisée, attendez-vous à de faux e-mails, de faux courriers et de faux appels au nom de Trezor, qui vous proposeront de « vérifier » ou de « sécuriser » votre appareil. Trezor ne vous demandera jamais votre phrase de récupération. Personne n'en a besoin pour vous aider.

Trezor resserre son réseau de revendeurs

L'affaire a déjà des conséquences sur la façon dont Trezor vend ses appareils. Selon The Block, les revendeurs concernés par la réorganisation perdront leur agrément le 1er janvier 2027. Ils ne recevront plus de nouveau stock, mais pourront écouler leurs appareils restants d'ici là.

Dans sa lettre aux partenaires, Danny Sanders, directeur commercial de Trezor, insistait sur le caractère préventif de la mesure : selon lui, il n'existait alors aucune preuve que des appareils Trezor aient été compromis. Le signalement du 28 octobre est arrivé deux semaines plus tard.

C'est la même direction que celle prise par Ledger, qui a renforcé le contrôle de ses revendeurs. Les fabricants réduisent le nombre d'intermédiaires entre l'usine et vous. Vous pouvez faire de même à votre niveau.

Les règles pour acheter un hardware wallet sans ce risque

Les deux affaires ne disent pas qu'il faut fuir les hardware wallets. Un appareil acheté en direct et initialisé par vous reste la façon la plus sûre de conserver des cryptos sur le long terme, bien plus qu'un exchange, comme l'a rappelé il y a quelques jours le piratage de Binance. Elles disent en revanche que l'achat fait partie de la sécurité.

1. Achetez directement sur le site officiel du fabricant. Chaque intermédiaire est une occasion d'ouvrir l'appareil. CryptoBilis était un revendeur agréé, à la fois chez Ledger et chez Trezor : le statut officiel n'a protégé personne.
2. N'utilisez jamais une phrase de récupération fournie avec l'appareil. Un hardware wallet légitime génère toujours sa phrase lui-même, à la première configuration. Pour comprendre pourquoi ces mots donnent un accès total, lisez comment fonctionne une seed phrase.
3. Ne faites pas reposer tout votre patrimoine sur une seule phrase. Pour les montants importants, des configurations à plusieurs appareils (multisig, répartition sur plusieurs portefeuilles) obligent un attaquant à compromettre plusieurs points pour accéder à vos fonds.

Pour la vue d'ensemble, du phishing aux drainers, voyez comment sécuriser son portefeuille crypto en 2026 et notre guide cold storage vs hot wallet.

Notre avis

Trezor a réagi tôt et de façon transparente : retrait du revendeur dès le 9 octobre, publication du signalement avant même d'avoir l'appareil en main, consignes claires et remplacement proposé. C'est la bonne façon de gérer ce type d'alerte.

Mais l'essentiel est ailleurs. En trois semaines, le même revendeur est lié à des appareils piégés chez les deux principaux fabricants. Le problème ne vient donc pas d'une marque. Il vient d'un maillon que l'utilisateur ne voit pas : le trajet physique de l'appareil. Un hardware wallet s'achète chez son fabricant, pas chez un revendeur, pas sur une marketplace, pas d'occasion.

Ce qu'il faudra suivre : le résultat de l'examen de l'appareil par le laboratoire de Trezor, et l'apparition éventuelle d'autres cas.

FAQ

Trezor a-t-il été piraté ? Non. Il ne s'agit pas d'une faille logicielle ni d'une intrusion dans les systèmes de Trezor. Un client signale un appareil modifié physiquement avant d'arriver chez lui, avec un implant chargé de lire la phrase de récupération à l'écran.

L'implant dans le Trezor Safe 5 est-il confirmé ? Pas encore. Trezor juge le signalement crédible et a vu les photos, mais n'a pas encore examiné l'appareil dans son laboratoire.

Qui doit transférer ses fonds ? Toute personne qui a acheté un Trezor chez CryptoBilis depuis mars 2026 et l'utilise pour conserver des fonds. Il faut les transférer vers un nouveau portefeuille avec une nouvelle phrase de récupération, puis contacter le support Trezor pour un remplacement.

Des fonds ont-ils été volés à des utilisateurs de Trezor ? Aucune perte n'a été signalée à Trezor à ce jour. Les vols liés à CryptoBilis concernent pour l'instant des appareils Ledger.

Peut-on vérifier soi-même si son Trezor a été modifié ? Non, selon Trezor. La pesée n'est pas un test fiable, et il n'existe pas de moyen sûr d'inspecter soi-même un appareil. La meilleure protection est de l'acheter directement chez le fabricant.

Faut-il arrêter d'utiliser un Trezor ? Non. Un Trezor acheté sur le site officiel et initialisé par vous n'est pas concerné. L'affaire rappelle surtout d'acheter à la source et de ne jamais utiliser une phrase de récupération que vous n'avez pas générée vous-même.

Trezor peut-il me contacter pour sécuriser mon appareil ? Trezor ne vous demandera jamais votre phrase de récupération. Tout message, appel ou courrier qui la réclame est une tentative de vol.

Sources : Trezor, The Block, BleepingComputer, The Block, affaire Ledger.