Trezor demande à toute personne ayant acheté ses portefeuilles matériels auprès de CryptoBilis depuis mars 2026 de transférer ses fonds vers un nouveau portefeuille doté d'une nouvelle phrase de récupération. The Hacker News a rapporté que cet avertissement fait suite au signalement d'un client, qui aurait découvert un implant suspecté, conçu pour transmettre cette phrase via un réseau mobile, bien que Trezor n'ait pas encore examiné l'appareil.
L'avertissement concerne tous les modèles Trezor fournis par CryptoBilis, y compris les achats effectués auprès d'autres boutiques et via sa boutique Tokopedia. La phrase de récupération est la sauvegarde qui permet de restaurer l'accès à un portefeuille : quiconque se la procure pourrait prendre le contrôle des fonds.
Trezor a rendu public ce signalement le 30 octobre, deux jours après avoir été alerté par un client indonésien qui avait acheté un Safe 5 auprès de CryptoBilis sur Tokopedia en août. Le client indique avoir trouvé une carte électronique supplémentaire entre la carte principale du portefeuille et l'écran, accompagnée d'un module cellulaire et d'une antenne. Selon le signalement, l'implant lirait le contenu de l'écran, y compris la phrase de récupération, et le transmettrait chaque fois que l'appareil est branché.
Trezor a examiné les photos et la description du client, s'est entretenu avec lui en visioconférence et organise l'envoi de l'appareil à son laboratoire. Le client avait transféré ses fonds avant de découvrir cette carte. Trezor indique qu'aucun acheteur de CryptoBilis ne lui a signalé de perte de fonds, même si l'entreprise ne peut pas voir les avoirs de ses clients.
Trezor a mis fin à sa relation avec CryptoBilis, anciennement son revendeur agréé pour l'Asie du Sud-Est, le 9 octobre, après que Ledger a commencé à enquêter sur des pertes subies par des clients ayant acheté auprès de ce vendeur. Ledger a ensuite indiqué avoir trouvé un implant capturant la phrase de récupération dans le portefeuille d'un client touché.
Les propriétaires concernés devraient suivre les conseils de Trezor :
- Transférez les fonds dès que possible vers un nouveau portefeuille doté d'une nouvelle phrase de récupération. Restaurer l'ancienne phrase sur un autre appareil ne protège pas les fonds si cette phrase a été capturée.
- Si aucun portefeuille matériel sécurisé n'est disponible, utilisez temporairement un portefeuille logiciel ou une plateforme d'échange qu'ils connaissent.
- Laissez les appareils inutilisés non configurés et ne saisissez jamais une phrase de récupération existante dans ceux-ci.
- Conservez l'appareil et contactez le support Trezor pour obtenir un remplacement ou un bon couvrant l'achat d'un nouvel appareil. Vérifiez le reçu ou contactez le support si l'identité du vendeur n'est pas claire.
Trezor indique que les propriétaires ne peuvent pas identifier de manière fiable une altération par eux-mêmes et ne doivent ni peser ni ouvrir les appareils pour vérifier. Elle met également en garde contre le risque que des escrocs exploitent l'incident au moyen de faux courriels, de faux courriers et d'appels téléphoniques frauduleux.
