La vague de phishing liée au Trezor a touché un fournisseur, et non le coffre-fort en lui-même. C’est là toute la leçon à retenir concernant les investissements.

Mardi soir, une e-mail est arrivée…347 000 boîtes de réceptionCe qui semblait provenir de…help@trezor.ioSujet de l’e-mail : “Alerte de sécurité importante : vulnérabilité liée à l’Entropy du STM32”. L’e-mail informait les détenteurs de portefeuilles hardware que leur microcontrôleur présentait une faille que les hackers pouvaient exploiter pour récupérer les clés de récupération. Il leur demandait d’ouvrir un lien et de télécharger une application afin de mettre à jour leur système. La réponse de Trezor était plutôt négative.L’e-mail n’était pas d’eux.C’était une tentative de phishing. Elle a été envoyée via le domaine légitime de Trezor, ainsi que par le fournisseur d’e-mails tiers Brevo.

Avant que la peur se propage, il est nécessaire d’évaluer les différentes parties de cette histoire. Il y a une différence entre une faille dans le domaine de la cryptographie et une faille liée aux chaînes d’approvisionnement. L’étiquette correcte détermine donc ce sur quoi un investisseur doit se soucier réellement. D’après les données publiées par Trezor, l’appareil a bien tenu son rôle : aucun portefeuille Trezor, aucune comptabilité ou système de produit n’a été affecté.— Seulement le pipeline de newsletters.celui qui était assis à côté d’eux.

L’exposition : une liste de vendeurs, pas un coffre-fort.

La fraude a utilisé Brevo, une plateforme de marketing par e-mail basée à Paris. Trezor se sert de Brevo pour la distribution des newsletters, la gestion des listes d’abonnés et l’annulation des abonnements. Le rapport d’analyse post-incident de Brevo indique que les attaquants ont volé les identifiants d’accès des utilisateurs légitimes et ont amplifié leur accès grâce à une vulnérabilité du système. Le fournisseur a initialement déclaré qu’environ 120 comptes clients avaient été touchés, mais a ensuite corrigé cette information.138 après la mort de la personne concernée ; six de ces comptes ont été utilisés pour envoyer des e-mails de type phishing aux contacts stockés. De plus, des contacts ont été exportés depuis 43 comptes.Trezor, BitBox et CoinTracking – trois entreprises spécialisées dans la cryptographie qui utilisent le même fournisseur de services – ont toutes confirmé que leurs abonnés ont été ciblés dans le cadre d’une attaque coordonnée.

Pour le Trezor, la surface exposée était son base de données d’newsletter opt-in, d’environ347 000 adresses e-mail, que l’entreprise considère désormais comme connues de l’attaquant.Trezor affirme que ses propres systèmes n’ont pas été compromis, et que la plateforme de Brevo ne contient aucune mots de passe, aucune donnée sur les portefeuilles, ni auces informations personnelles.

Le détail opérationnel important est la fenêtre de réponse. Trezor indique que le domaine malveillant a été supprimé au niveau du DNS en moins de 20 minutes, ce qui a empêché la connexion fonctionner pour la plupart des utilisateurs.Environ 2 500 personnes ont cliqué avant que le site ne soit retiré.Trezor a suspendu son compte Brevo afin d’arrêter les envoi de courriels supplémentaires. Il examine également ses relations avec les fournisseurs et les exigences en matière de sécurité.

C’est la deuxième violation de la part d’un fournisseur de Trezor en moins d’un mois. L’entreprise adapte donc sa position en conséquence. En août, des attaquants ont exploité une faille critique liée à des injections SQL zero-day dans l’outil d’analyse Metabase utilisé par ShipMonk, le fournisseur logistique de Trezor. Une bande de racketurs a également exigé des paiements en échange de cette violation.environ 81 000 clientsNoms, adresses e-mail, numéros de téléphone et adresses de livraison – un total initial d’environ 11 700.Encore 67 000 clients américains.Cela a été révélé une semaine avant l’incident lié à l’e-mail. Le service Trezor avait déjà subi des violations sur un portail de support tiers en 2024.

Quelle violation par le vendeur n’est pas…

Une lecture honnête de cet incident montre que les propos alarmants contenus dans l’e-mail sont complètement faux. La proposition de phishing reposait sur une hypothèse technique qui semblait réelle : une faille technique du microcontrôleur STM32, qui permettait à des attaquants de déchiffrer les mots de passe par force brute. Mais le design de stockage froid du dispositif était justement ce qui ne fonctionnait pas. Dans un portefeuille matériel qui fonctionne correctement, les mots de passe de récupération sont générés et stockés sur le dispositif lui-même, et ne traversent jamais Internet. Un e-mail de phishing ne peut donc pas obtenir ces mots de passe. La vulnérabilité dont parlait l’e-mail n’était en réalité que ce que le dispositif est conçu pour éviter.

Donc, les dégâts réels ne sont pas liés à des problèmes de cryptographie, et il ne s’agit pas d’un vol de fonds au sens habituel. Il s’agit plutôt d’une attaque contre la confiance que les utilisateurs ont envers les wallets matériels – et cette confiance constitue l’ensemble des fondements économiques de cette catégorie de produits. Un wallet matériel est donc un dispositif électronique qui vaut environ cent dollars ; sa valeur réside dans le fait que vous pouvez nous payer pour que nous gardions vos clés hors du champ de la connexion Internet. La valeur du produit n’est pas liée au silicium ; elle dépend plutôt de la conviction des clients que l’entreprise et ses équipements sont des gardiens dignes de confiance d’un secret qui pourrait détruire des économies accumulées tout au long de la vie.

C’est pour cette raison que la chaîne de vendeurs – et non le chip lui-même – représente l’exposition réelle du secteur. La vague de incidents liés aux tiers en 2026 se manifeste à travers les éléments qui entourent l’appareil : le partenaire de livraison qui possède votre nom et votre adresse, la plateforme d’envoi d’e-mails qui contient votre boîte de réception, le portail de support qui contient vos informations de compte. Chacun de ces éléments constitue un moyen de générer des communications simulées, entre l’utilisateur et son portefeuille numérique. Le criminel n’a pas besoin de briser la cryptographie pour obtenir de l’argent ; il suffit de faire en sorte que la victime tape ses clés de sécurité dans une simulation convaincante.

Pourquoi un investisseur de détail devrait-il s’en soucier du tout ?

Trezor, pionnier de cette catégorie, est une entreprise privée, appartenant à son propriétaire SatoshiLabs. Par conséquent, il n’y a pas de code boursier pour acheter des actions, ni de prix à surveiller. La valeur d’investissement de cette entreprise constitue un point de référence pour le secteur qui se dirige vers les marchés publics. Ledger, le principal concurrent de cette catégorie, a fait appel à des banques d’investissement pour envisager une cotation aux États-Unis, ce qui pourrait ajuster la valeur de l’entreprise.plus de 4 milliardsIl s’agit d’une augmentation de plus de deux fois le prix de financement de 2023, qui était de 1,5 milliard de dollars. Si l’économie des portefeuilles matériels devient accessible sur les marchés publics, la mesure qui compte sera non pas le volume des transactions, mais la durabilité de la confiance des clients : combien de clients, après trois violations par le fournisseur en quatre semaines, croient toujours que stocker leurs économies personnelles dans un dispositif en plastique et en métal est valable ?

Pour cette raison, cet incident constitue un outil utile, car le chemin lié à la peur est celui qui est plus facile à suivre, tandis que le chemin lié aux preuves n’est pas aussi simple. Les arguments favorables pour ce secteur – une demande croissante en matière de gestion des cryptomonnaies, dans un contexte où les indicateurs sont neutres ou positifs (l’indice de peur/avidité se situe à 56, et le prix du Bitcoin est à environ 77 400 dollars, bien en dessous de son niveau record de 125 500 dollars sur 52 semaines) – ne disparaissent pas à cause d’un e-mail phishing. Les violations répétées par les fournisseurs constituent un véritable obstacle au renforcement de la confiance, mais il s’agit simplement d’un obstacle, et non d’une modification de la loi physique.

Condition de pause

Il y a un fait qui pourrait remettre en question cette interprétation : si l’un de ces incidents permettait de prouver que les clés de récupération ou les secrets privés étaient effectivement exposés à une échelle significative, ou si Trezor devait révéler que ses propres systèmes – et non ceux d’un fournisseur – avaient été compromis, alors la condition de rupture est remplie, et l’hypothèse selon laquelle “la confiance reste intacte” n’est plus valable, mais plutôt annulée. Aucune information fournie par Brevo ne suggère que cela se soit produit. Le design du dispositif est resté intact ; ce qui a été exposé lors de la fuite, c’est simplement des données de contact et une période de panique parmi les 2 500 boîtes de messagerie.

Jusqu’à ce que cette condition de interruption se produise, on doit traiter l’incident en fonction des informations fournies par les reçus : il s’agit d’une violation de la part du vendeur, documentée de manière approfondie, qui a endommagé l’actif moral de confiance, sans toucher à l’actif physique des clés. Cette distinction constitue toute la leçon d’investissement – et elle peut être vérifiée en quelques minutes, en ouvrant le fichier de détail de Trezor et en lisant ce qu’il indique ou non.