Le phishing Trezor montre que les attaquants peuvent contourner l'appareil et cibler la couche de confiance humaine

Trezor a alerté ses utilisateurs d'une attaque de pirates informatiques visant son fournisseur de messagerie tiers pour diffuser un faux avis de sécurité. Le portefeuille Trezor n'a cependant pas été affecté. Les criminels ont ciblé un élément encore plus difficile à protéger qu'un logiciel : la confiance des utilisateurs envers un courriel provenant d'un fournisseur de confiance.

L'objet de l'alerte était le suivant : « Alerte de sécurité critique : Vulnérabilité liée à l'entropie des puces STM32 ». Le message affirmait que les ingénieurs de Trezor avaient découvert un défaut de conception dans les puces STM32 utilisées dans ses produits. Decrypt a indiqué que Trezor avait reconnu qu'il s'agissait d'une arnaque et avait mis en garde les lecteurs contre tout clic sur les liens.

Un faux défaut envoyé depuis une adresse réelle

Ce qui a fait le succès de la campagne, ce n'est pas la vulnérabilité fabriquée, mais la manière dont le courriel a été reçu. Un destinataire a révélé que le courriel provenait de [email protected], suivait le parcours de la campagne Sendinblue et avait passé avec succès les vérifications DKIM, SPF et DMARC.

L'alerte précisait qu'un appareil sur quatre pouvait être compromis et que les phrases de récupération pouvaient manquer d'aléatoire ou d'entropie. Ce libellé rappelait fortement les problèmes décrits lors de la récente attaque Coldcard.

Trezor a annoncé avoir bloqué le domaine utilisé pour l'envoi des alertes et avoir lancé une enquête afin de comprendre comment les fraudeurs avaient réussi à exploiter son infrastructure d'envoi légitime. L'alerte publique de l'entreprise a été diffusée peu après 16h30, heure de l'Est, le 9 septembre, quelques heures seulement après que ses utilisateurs aient commencé à signaler ces courriels suspects.

La brèche pourrait s'étendre au-delà de Trezor

Selon Nick Neuman, cofondateur et PDG de Casa, une tendance similaire semble se dessiner parmi les utilisateurs de BitBox et il semblerait qu'un fournisseur de messagerie marketing courant ait été victime d'une intrusion.

C’est là le problème majeur. Les fabricants de portefeuilles électroniques peuvent renforcer la sécurité de leurs appareils, mais leur marque reste vulnérable au vol par des moyens qu’ils ne maîtrisent pas entièrement, allant des fournisseurs de messagerie aux transporteurs en passant par les processeurs de paiement.

Les violations de données ne sont pas des failles de sécurité des appareils

Un précédent rapport de Cryptopolitanrévélait que des tentatives d'hameçonnage visant les utilisateurs de Ledger avaient également été recensées par courrier postal. Il convient toutefois de noter que ces cas diffèrent des exploitations de failles de sécurité, car une fuite de données compromet l'dentet les coordonnées, tandis qu'une exploitation de faille peut également mettre en péril des actifs financiers.

Les attaques contre les portefeuilles matériels survenues en 2026 illustrent clairement cette distinction. SafePal a reconnu qu'une erreur d'autorisation dans l'un de ses tracavait entraîné la divulgation des données d'environ 39 798 clients, mais a précisé que les phrases de récupération, les clés privées et lesdentde ces clients n'avaient pas été compromis.

faille de sécurité chez Trezor (ShipMonk) a finalement touché 80 689 clients après que l'entreprise a découvert que d'anciennes commandes américaines datant de 2019 à 2021 étaient également stockées et exposées. De même, en janvier, l' Global-edent chez Ledger a également entraîné la divulgation des détails de commandes et des coordonnées de ses clients, sans que le nombre exact de clients concernés ne soit communiqué.

Dans son comparatif d'août, Memeburn a correctement classé Ledger, Trezor et SafePal dans la catégorie « fuites de données », tout endentColdcard comme une « exploitation de faille de sécurité ». Le chiffre de 13 689 mentionné par Memeburn concernant Trezor date cependant d'avant la mise à jour du 4 septembre.

Coldcard se distingue nettement des autres. Selon Galaxy Research (14 août), l'entreprise a confirmé 190 victimes directes, ainsi que plus de 86 000 adresses affectées et un préjudice d'au moins 112.7$ millions de dollars, soit 1 778,84 BTC, dû à des failles de son firmware. D'autres estimations font état de pertes avoisinant les 130$ millions de dollars.

Les fuites de contexte alimentent le phishing industrialisé

Le danger lié à la fuite d'une liste d'expédition réside dans ses conséquences. Chainalysis estime que les escroqueries et fraudes liées aux cryptomonnaies ont coûté 17$ milliards de dollars en 2025, tandis que les usurpations d'identité ont connu une croissance de plus de 1 400 % sur un an. L'étude révèle également que les escroqueries comportant des liens on-chain avec des fournisseurs d'IA génèrent 4,5 fois plus de revenus par opération que celles sans de tels liens.

Un historique d'achat de portefeuille matériel peut donc servir de fichier de ciblage. Un nom associé à une adresse e-mail, un numéro de téléphone, une adresse postale et la confirmation de la possession d'un dispositif de sécurité cryptographique fournissent aux criminels les éléments nécessaires pour concevoir des e-mails, des appels, des lettres ou même des approches physiques convaincants.

La leçon à tirer du dernierdent de Trezor n'est pas que les portefeuilles matériels ont échoué. Elle est que le périmètre de sécurité englobe désormais les systèmes qui les entourent, et que les attaquants n'ont de plus en plus besoin que d'un seul message d'apparence fiable pour s'y introduire.