Trezor confirme des espions sur 3 wallets matériels, vire 80 % revendeurs

Trezor détaille les modifications apportées au micrologiciel et aux revendeurs

Le fabricant de portefeuilles matériels Trezor a déclaré le 12 novembre que trois appareils Safe 5 achetés auprès de CryptoBilis, un ancien revendeur agréé en Asie du Sud-Est, contenaient des implants matériels non autorisés. Son article de blog consacré à l’enquête détaillait une mise à jour du micrologiciel et des contrôles de distribution plus stricts. La version 2.13.1, publiée le 11 novembre, empêche les implants identifiés de capturer des informations en mettant à jour le logiciel qui fait fonctionner l’appareil, a déclaré la société. Les trois appareils concernés ont tous été achetés entre le 20 août et le 23 septembre auprès de CryptoBilis, soit directement, soit via ses boutiques Tokopedia et Shopee. Trezor a examiné dans son laboratoire le premier implant signalé sur un Safe 5 et en a identifié deux autres à partir de photos fournies par les propriétaires. Quarante-huit clients avaient contacté l’entreprise, qui vérifiait leurs appareils dans son laboratoire ou à l’aide de photos fournies par les utilisateurs. L’entreprise a déclaré :

« Nous avons réduit notre réseau de revendeurs d’environ 80 %. »

Ses projets de réduction du réseau de revendeurs ont été annoncés en octobre, et Trezor décrit désormais les partenaires écartés comme fiables et ne présentant aucune menace immédiate. Les revendeurs restants doivent se conformer à des exigences plus strictes en matière d’approvisionnement, de stockage et d’accès aux appareils.

Des cartes cachées ont capturé les secrets des portefeuilles

À l’intérieur du Safe 5, l’implant non autorisé se trouve entre l’écran et la carte mère, le circuit imprimé principal de l’appareil reliant les composants électroniques. Il copie les informations affichées sans modifier le micrologiciel ni le Secure Element, une puce de sécurité dédiée, selon l’analyse de Trezor. La carte ajoutée enregistre les mots de récupération lors de la création ou de la restauration du portefeuille, ainsi que les phrases de passe affichées, qui sont des secrets supplémentaires facultatifs utilisés pour accéder à des portefeuilles distincts. L’implant crypte les données qu’il capture et les envoie via un réseau mobile vers un serveur géré par les attaquants. En l’absence de signal, il conserve les données et continue d’essayer jusqu’à ce que le transfert aboutisse. Trezor a indiqué que cet implant fonctionne de la même manière que ceux découverts dans certains appareils Ledger. Dans le cas de Ledger, les attaquants avaient acheté des appareils authentiques, les avaient modifiés, puis les avaient remis en vente par l’intermédiaire de revendeurs en Asie du Sud-Est.

Ledger avait confirmé en octobre la présence d’un implant matériel non autorisé dans le portefeuille d’un client concerné. Les conclusions de Trezor se sont limitées aux appareils Safe 5 achetés auprès de CryptoBilis. Les vérifications effectuées sur les appareils d’autres revendeurs régionaux n’ont révélé aucune altération, et la société n’a signalé aucun implant confirmé dans d’autres modèles.

Les acheteurs de CryptoBilis doivent toujours se procurer de nouveaux portefeuilles

Bien que la mise à jour empêche toute capture par les implants identifiés, les sauvegardes de portefeuilles précédemment exposées restent compromises. Trezor a continué à conseiller aux acheteurs de CryptoBilis de transférer leurs fonds vers des portefeuilles nouvellement créés, car le remplacement du matériel tout en réutilisant la même phrase de récupération laisse cette vulnérabilité intacte. Les propriétaires d’appareils soupçonnés d’avoir été altérés ont reçu pour consigne de les conserver et d’éviter toute configuration ou utilisation en attendant les instructions du service d’assistance.

Le droit au remplacement s’applique à tous les modèles achetés auprès de CryptoBilis à partir du mois de mars. En raison de restrictions d’expédition, il peut être nécessaire de proposer un modèle différent avec remboursement de la différence de prix, une livraison vers un autre pays ou un remboursement. Les clients ont été invités à organiser le remplacement via le service d’assistance officiel de Trezor, et les acheteurs dans le doute ont également été encouragés à vérifier l’origine de leur appareil.

Trezor a averti que des escrocs pourraient se faire passer pour des membres du personnel proposant des remplacements ou des remboursements, et a réaffirmé qu’elle ne demandait jamais de phrases de récupération. L’entreprise a poursuivi sa collaboration avec SEAL 911, le service d’intervention d’urgence de la Security Alliance dédié aux incidents liés aux cryptomonnaies. Elle a également promis une récompense au client qui a signalé le premier la présence de ce logiciel malveillant.