Trezor confirme la présence d’implants cachés dans des portefeuilles Safe 5 vendus par CryptoBilis

Trezor indique que trois portefeuilles Safe 5 achetés auprès du revendeur CryptoBilis contiennent une carte de circuit imprimé supplémentaire, ou implant, capable de copier leurs phrases de récupération. L’implant lit la phrase sur l’écran et l’envoie par le réseau mobile à un serveur contrôlé par les attaquants. Trezor a examiné un portefeuille dans son laboratoire, a identifié les deux autres à partir de photos envoyées par leurs propriétaires, et n’a reçu aucun signalement de fonds perdus.

Une mise à jour du micrologiciel, la version 2.13.1, empêche les implants trouvés jusqu’à présent de capturer quoi que ce soit sur les portefeuilles qui l’exécutent, indique la société, mais cette mise à jour ne peut pas protéger une sauvegarde de portefeuille capturée auparavant. Trezor recommande toujours à toute personne ayant acheté un Trezor auprès de CryptoBilis depuis mars de transférer ses fonds vers un nouveau portefeuille doté d’une nouvelle phrase de récupération, et de contacter le support Trezor, qui propose un nouveau portefeuille à ces acheteurs. La société indique qu’elle ne publiera pas de détails techniques susceptibles d’aider les attaquants.

CryptoBilis était un revendeur officiel de Trezor en Asie du Sud-Est jusqu’au 9 octobre, date à laquelle Trezor l’a retiré. Ledger avait commencé à enquêter le même jour sur des pertes de fonds chez les clients du revendeur et a ensuite confirmé un implant non autorisé dans un portefeuille vendu par ce revendeur. Trezor affirme que ses implants fonctionnent de la même manière, et n’a pas indiqué qui les a installés ni à quel endroit de la chaîne d’approvisionnement. Trezor a également réduit son réseau de revendeurs d’environ 80 %.

Pourquoi c’est important Pour les responsables de la sécurité et les enquêteurs, ce cas montre que des portefeuilles matériels peuvent être compromis avant leur livraison, de sorte que l’intégrité d’un appareil dépend de sa chaîne d’approvisionnement autant que de son micrologiciel. Une mise à jour du micrologiciel n’annule pas une phrase de récupération déjà capturée ; les organisations et les particuliers détenant des fonds sur des appareils concernés devraient donc considérer la phrase comme exposée et transférer leurs actifs vers un nouveau portefeuille doté d’une nouvelle phrase. Le récit de Trezor laisse aussi ouverte la question de savoir qui a installé les implants et à quel endroit, point que les enquêteurs devraient prendre en compte lorsqu’ils évaluent d’autres appareils revendus.