Trezor écarte des revendeurs après l’attaque visant Ledger

Trezor retirera certains revendeurs agréés de son réseau le 1er janvier 2027, après qu’une attaque par implant visant son concurrent Ledger a révélé les risques liés à la distribution des portefeuilles matériels. Les détaillants concernés ne recevront plus de stock supplémentaire, mais pourront vendre leurs stocks existants pendant les périodes du Black Friday et de Noël. Trezor a déclaré n’avoir trouvé aucune preuve que des appareils de son propre réseau aient été compromis.

Pourquoi c’est important

L’enquête de Ledger a montré comment des attaquants pouvaient placer un composant électronique non autorisé dans un portefeuille avant sa vente. Ledger a déclaré que son équipe Donjon avait découvert un implant capable de récupérer la phrase de récupération de 24 mots lors de la configuration et de la transmettre via une connexion LTE utilisant une eSIM intégrée. Le composant fonctionnait séparément du Secure Element et du système d’exploitation du portefeuille, permettant aux signatures de transactions normales de se poursuivre.

Le directeur commercial de Trezor, Danny Sanders, a déclaré que l’entreprise ne pouvait plus inspecter correctement chaque partenaire de son réseau de distribution existant. L’entreprise a évalué les marchés en fonction des revenus, de la couverture de distribution et de sa capacité à atteindre les clients avant de décider quels partenariats résilier. Sanders a présenté cette mesure comme préventive, estimant qu’un portefeuille matériel n’est aussi sûr que le parcours qu’il suit jusqu’à son propriétaire.

Impact sur le marché

Ces changements transfèrent davantage de responsabilités aux distributeurs agréés. Les détaillants qui conserveront leur agrément devront respecter des exigences contractuelles plus strictes et se soumettre à des inspections supplémentaires portant sur l’approvisionnement, le stockage et la manipulation des appareils. Les petites entreprises qui perdront leur agrément pourraient subir d’importantes conséquences financières, même si Trezor a précisé que cette décision ne constituait ni une conclusion de faute ni une preuve que leurs stocks existants étaient dangereux.

L’incident plus large reste encore incertain. Ledger a confirmé des vols vérifiés liés à des appareils vendus par CryptoBilis, tandis que les signalements concernant d’autres détaillants en Allemagne et à Singapour n’ont pas été confirmés de manière indépendante ni rattachés à la même attaque. Des enquêteurs indépendants ont associé à l’incident plus large des pertes présumées proches de 93 millions de dollars, mais Ledger n’a pas vérifié ce montant.