Le phishing de Trezor montre que les attaquants peuvent contourner le dispositif et cibler la couche de confiance humaine
- Trezor indique que des pirates ont compromis un fournisseur d'e-mails tiers pour envoyer de fausses alertes de sécurité, tandis que ses portefeuilles et dispositifs sont restés intacts.
- Les e-mails de phishing semblaient provenir de l'infrastructure légitime de Trezor et affirmaient à tort qu'une faille STM32 pourrait affaiblir les phrases de récupération des utilisateurs.
- Cette attaque met en lumière comment des données clients divulguées et des fournisseurs de services compromis peuvent permettre un phishing convaincant, même lorsque les portefeuilles matériels eux-mêmes restent sécurisés.
Trezor a alerté les utilisateurs mercredi 9 septembre 2026, sur des pirates exploitant son fournisseur d'e-mails tiers pour distribuer un avis de sécurité fictif. Cependant, le portefeuille Trezor n'a pas été affecté par l'attaque. Les criminels ont ciblé quelque chose de encore plus difficile à protéger qu'un logiciel : la confiance d'un utilisateur dans un e-mail provenant d'un fournisseur de confiance.
L'objet de l'avertissement était le suivant : « Alerte de sécurité critique : Vulnérabilité de l'entropie STM32 ». Le message indiquait que les ingénieurs de Trezor avaient découvert un défaut de conception dans les puces STM32 utilisées dans leurs produits. Decrypt a rapporté que Trezor a reconnu le message comme étant faux et a mis en garde les lecteurs de ne pas cliquer sur les liens.
Une faille fictive envoyée depuis une adresse réelle
Ce qui a rendu la campagne efficace n'était pas la vulnérabilité fabriquée, mais la manière dont l'e-mail a été reçu. Un destinataire a révélé que l'e-mail provenait de [email protected], suivait le parcours de campagne Sendinblue et passait les vérifications DKIM, SPF et DMARC.
L'alerte spécifiait qu'un dispositif sur quatre pouvait être compromis et que les phrases de récupération pourraient ne pas avoir suffisamment de hasard ou d'entropie. Ce langage ressemblait de près aux problèmes décrits dans la récente attaque Coldcard.
Trezor a signalé qu'il avait arrêté le domaine utilisé pour envoyer les alertes et a commencé à enquêter sur la façon dont les fraudeurs ont réussi à utiliser son infrastructure d'envoi légitime. L'alerte publique de l'entreprise est sortie juste après 16h30, heure de l'Est, le 9 septembre, seulement quelques heures après que ses utilisateurs ont commencé à soulever des doutes sur les e-mails.
La violation peut dépasser Trezor
Selon Nick Neuman, cofondateur et PDG de Casa, il semble y avoir une tendance similaire chez les utilisateurs de BitBox et qu'un fournisseur d'e-mails marketing commun aurait été compromis.
C'est le problème plus large. Les fabricants de portefeuilles peuvent rendre leurs dispositifs plus sécurisés, mais leur marque peut toujours être volée par des moyens qu'ils ne gèrent pas complètement, des fournisseurs de services e-mail aux entreprises de livraison et aux processeurs de paiement.
Les violations de données ne sont pas des exploits de dispositif
Dans un rapport précédent de Cryptopolitan, il a été révélé que les tentatives de phishing contre les utilisateurs de Ledger ont également trouvé leur chemin dans le courrier physique. Cependant, il convient de noter que ces cas sont différents de ceux des exploits de dispositifs, car une violation de données compromet l'identité et les informations de contact, tandis qu'un exploit de dispositif peut également mettre les actifs financiers en risque.
Les attaques contre les portefeuilles matériels survenues en 2026 rendent cette distinction claire. SafePal a admis qu'il y avait une erreur d'autorisation dans l'un de ses plugins de suivi de commande qui a conduit à l'exposition des données d'environ 39 798 clients, et que les phrases de récupération, les clés privées et les identifiants de portefeuille de ces clients n'ont pas été compromis.
La violation de ShipMonk chez Trezor a finalement porté le nombre de clients affectés à 80 689 après que l'entreprise a appris que les anciens dossiers de commande américains datant de 2019 à 2021 étaient également stockés et exposés. De même, en janvier, l'incident Global-e de Ledger a également vu l'exposition des détails de commande et des informations de contact de ses clients, le nombre exact de clients n'ayant pas été divulgué.
Dans sa comparaison d'août, Memeburn a correctement classé Ledger, Trezor et SafePal sous « violations de données » tout en identifiant Coldcard comme un « exploit de dispositif ». Le chiffre de 13 689 mentionné par Memeburn en référence à Trezor provient cependant d'avant la mise à jour de Trezor le 4 septembre.
Coldcard se distingue du reste. Selon Galaxy Research du 14 août, il a confirmé 190 victimes directement ainsi que plus de 86 000 adresses affectées et au moins 112,7 millions de dollars en 1 778,84 BTC volés en raison de failles dans le firmware. D'autres estimations avaient placé la perte potentielle près de 130 millions de dollars.
Le contexte divulgué alimente le phishing industrialisé
Le danger dans une liste d'expédition divulguée réside dans ce qui se passe ensuite. Chainalysis a estimé que les escroqueries et fraudes crypto ont volé 17 milliards de dollars en 2025, tandis que les escroqueries par usurpation d'identité ont augmenté de plus de 1 400 % en glissement annuel. Il a également constaté que les escroqueries avec des liens on-chain vers des fournisseurs d'IA ont généré 4,5 fois plus de revenus par opération que celles sans de tels liens.
Un enregistrement d'achat de portefeuille matériel peut donc devenir un fichier de ciblage. Un nom associé à un e-mail, un numéro de téléphone, une adresse domiciliaire et la confirmation que quelqu'un possède un dispositif de sécurité crypto donne aux criminels le contexte pour créer des e-mails, appels, lettres ou même approches physiques convaincants.
La leçon tirée du dernier incident de Trezor n'est pas que les portefeuilles matériels ont échoué. C'est que le périmètre de sécurité inclut désormais les systèmes qui les entourent, et que les attaquants n'ont de plus en plus besoin que d'un seul message ayant l'air de confiance pour franchir la barrière.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Le matériel Trezor ou la phrase de récupération a-t-il vraiment été compromis ?
Non. Trezor a indiqué que l'e-mail était une tentative de phishing envoyée via un fournisseur d'e-mails tiers compromis, et que la faille matérielle STM32 prétendue était fabriquée ; la sécurité du dispositif n'a pas été affectée.
Comment l'e-mail falsifié a-t-il échappé aux filtres anti-spam ?
Selon un rapport d'utilisateur cité par Decrypt, le message semblait provenir de [email protected] et a passé les vérifications d'authentification DKIM, SPF et DMARC car les attaquants l'ont envoyé via le chemin d'envoi d'e-mails légitime de Trezor plutôt que de le faire passer pour un envoi externe.
La campagne de phishing a-t-elle touché uniquement les utilisateurs de Trezor ?
Le CEO de Casa, Nick Neuman, a déclaré sur X que les utilisateurs de BitBox avaient signalé les mêmes e-mails et qu'un fournisseur d'e-mails marketing partagé avait probablement été compromis, suggérant que la campagne s'étendait au-delà de Trezor.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Micah Abiodun
Micah Abiodun met à profit son Master en Ingénierie et Gestion de l'Environnement (MSc) à l'Université de Technologie de Tallinn (TalTech) pour peaufiner ses articles sur les prévisions de prix et l'actualité à Cryptopolitan. Fort de sept années d'expérience dans les médias cryptographiques, il couvre les principales cryptomonnaies, les altcoins, la finance décentralisée (DeFi), les stablecoins, les tendances macroéconomiques et les technologies émergentes.
