La sécurité d'un portefeuille physique ne dépend pas seulement de son logiciel. Trezor vient d'alerter les clients ayant acheté un appareil auprès du revendeur CryptoBilis depuis mars, après la découverte d'un composant suspect dans un Trezor Safe 5. Le dispositif, placé entre la carte principale et l'écran, comporterait un module cellulaire et une antenne capables de lire puis de transmettre les informations affichées.

Le risque est particulièrement sérieux lors de la configuration initiale. La phrase de récupération permet de restaurer un portefeuille et donc d'accéder aux cryptomonnaies qu'il contrôle. Si elle est interceptée par un tiers, changer simplement d'appareil ne suffit pas. L'attaquant peut conserver l'accès aux actifs tant que ceux-ci restent associés à la même phrase.

L'alerte est partie d'un client indonésien ayant acheté son Safe 5 en août sur la plateforme Tokopedia. Trezor n'a pas encore examiné physiquement l'appareil, mais juge les photos et l'entretien vidéo suffisamment crédibles pour appliquer le principe de précaution. Aucun vol attribué à ce dispositif n'a été signalé à ce stade. Cette incertitude est importante: le danger paraît plausible, mais l'étendue réelle des appareils modifiés reste inconnue.

Le fabricant recommande à tous les clients concernés de créer un nouveau portefeuille avec une phrase de récupération entièrement nouvelle, puis d'y transférer leurs actifs. Restaurer l'ancienne phrase sur un autre appareil ne protège pas les fonds. Les appareils encore non configurés ne doivent pas être utilisés. Trezor propose un remplacement ou un bon d'achat et demande aux clients de conserver le matériel pour les échanges avec son support.

L'affaire met surtout en lumière le risque de chaîne d'approvisionnement. CryptoBilis distribuait également des portefeuilles Ledger en Asie du Sud-Est et Trezor l'a exclu de son réseau agréé le 9 octobre. Des fonds présumés volés dans le dossier Ledger ont été suivis sur 1 486 adresses pour un total estimé à 95,35 millions de dollars, mais cette estimation n'a pas été confirmée par Ledger. Rien ne prouve non plus que les mêmes auteurs soient impliqués dans les deux affaires.

Pour l'investisseur, la leçon dépasse la marque concernée. Un portefeuille physique protège contre de nombreux risques en ligne, mais il ne neutralise pas une compromission matérielle avant livraison. L'achat auprès du fabricant ou d'un distributeur officiellement vérifié devient donc une étape de sécurité aussi importante que la conservation hors ligne de la phrase de récupération. Les utilisateurs non concernés n'ont pas intérêt à déplacer leurs actifs dans la précipitation, car toute transaction inutile crée aussi un risque d'erreur.