Le Trezor “STM32 Entropy” est un faux email qui cache en réalité une histoire effrayante.

Ouvrez l’e-mail. Il provient d’une adresse que vous avez déjà vue auparavant. Le titre indique « Alerte de sécurité critique : vulnérabilité liée à l’Entropy du STM32 ». Il affirme que les ingénieurs de Trezor ont découvert une faille dans le circuit intégré présent dans votre portefeuille. Un quart des dispositifs pourraient être compromises, et la phrase de récupération de votre argent pourrait ne pas avoir suffisamment de随机性. L’e-mail se termine par un lien permettant de corriger la situation. Urgent, spécifique, alarmant.

Ne cliquez pas. Cet e-mail représente une attaque, pas un avertissement.

La vérité utilisée comme arme

Le message est faux, mais les désinformations qu’il contient ne sont pas inventées. Le fournisseur d’e-mails tiers utilisé par Trezor a été compromis ; les attaquants ont utilisé cet outil pour envoyer des messages frauduleux depuis l’infrastructure légitime de l’entreprise, sous une forme qui…A passé les tests SPF, DKIM et DMARC.Cela indique normalement qu’il s’agit d’un vrai expéditeur. Trezor a détecté le domaine actif et a indiqué que l’e-mail ne venait pas de là. Il a donc alerté les destinataires de ne pas cliquer sur aucun lien.Aucun fonds ou appareil utilisateur n’a été compromis..

Voici la partie qui est importante pour votre jugement. La peur est plus effrayante que ce qu’elle devrait être, car l’histoire sous-jacente est vraie ailleurs. Lors d’une exploitation en direct au début de cette année, un bug dans le logiciel de stockage de cryptomonnaies Coldcard a causé des problèmes.Affaiblissement de la randomité des graines, passant de 128 bits à seulement 40 bits.On peut le faire de manière brute-force, sans jamais toucher à aucun appareil.Les estimations concernant le montant englouti varient entre environ 70 millions et plus de 100 millions de dollars.À travers les vagues de l’attaque… Le STM32 est la famille de puces utilisée dans de nombreuses portefeuilles matériels. L’entropie, quant à elle, représente le hasard qui crée votre clé de sécurité. Les termes utilisés sont exacts. La mémoire est réelle. L’e-mail de phishing ne fait que transférer une catastrophe réelle d’un concurrent sur le nom de marque Trezor, afin de rendre son e-mail faux crédible.

C’est le mécanisme en question : un phishing ne fonctionne que si l’appât est suffisamment faux pour ressembler à une alerte réelle. L’attaquant qui ne peut pas contourner les protections techniques passe directement au niveau de la personne qui possède la phrase secrète.

Pourquoi cela est-il arrivé dans votre boîte de réception en particulier ?

La partie la plus effrayante n’est pas l’e-mail en lui-même. C’est que le faux e-mail a atteint les bons personnes. C’est la troisième défaillance liée aux tiers pour Trezor en environ un mois. En août, le partenaire ShipMonk a divulgué les noms, numéros de téléphone et adresses des clients. Au début du mois de septembre, Trezor a révélé que…67 000 clients américains supplémentaires ont été exposés.Les clients ont rapporté avoir reçu des appels téléphoniques de personnes inconnues qui connaissaient leur nom et qui possédaient un portefeuille hardware.Lettres physiques avec des codes QR à l’intérieur.

Exécutez l’ensemble des étapes dans le bon ordre, et ce ne sera plus une coïncidence. Les attaquants ont obtenu vos informations de contact grâce à une fuite de données liée aux expéditions. Ils ont ensuite envoyé un e-mail phishing provenant d’un destinataire en qui vous avez confiance, en mentionnant cette vulnérabilité – l’entropie – qui a déjà causé des problèmes à des personnes réelles cette année. L’appareil n’a pas eu besoin de faire défaut. La fuite de données, ajoutée au domaine du destinataire volé, a fait tout le travail. Même BitBox, un fabricant de portefeuilles séparé, a prévenu le même jour…Le fournisseur de la newsletter était probablement ciblé.Le schéma indique une infrastructure de messagerie partagée entre plusieurs sociétés crypto, plutôt qu’une faille dans un seul portefeuille.

Ce que vous contrôlez vraiment ce soir

Le rôle d’un portefeuille matériel est de protéger vos clés privées du réseau Internet. Rien dans cette situation ne change rien au fonctionnement de votre Trezor – ou de tout autre portefeuille, car l’e-mail est faux et vos mots de passe n’ont jamais été en danger. La vulnérabilité ici n’est pas liée au chip ; elle concerne plutôt le fait que le portefeuille ne peut pas se placer entre vous et l’utilisateur, qui doit décider lui-même s’il veut saisir douze mots de passe sur une page web.

Donnez donc une note au trade de la même manière que vous donneriez une note à n’importe quelle configuration : donnez un nom au point de sortie avant d’envisager l’entrée.

1. Ne cliquez pas sur le lien. Ne répondez pas au appel.Les fabricants de portefeuilles ne demandent jamais votre mot de récupération.Tout message qui le fait est, par définition, une arnaque.
2. Agissez uniquement par les canaux que vous vous crééz vous-même.Insérez “type trezor.io” dans le navigateur, ou utilisez l’application officielle. Ne faites jamais confiance aux liens présents dans les e-mails qui vous surprennent.
3. Si vous avez déjà inséré une « semence » dans une page liée, ce portefeuille est alors brûlé.Transférez les fonds dans une nouvelle carte de paiement, avec un nouveau mot de passe. Ne mettez pas à jour, ne migratez pas, ne “réinitialisez” pas… Migratez plutôt.
4. Lors de l’évaluation d’un fournisseur de portefeuille hardwareTraiter la exposition aux tiers comme critère de sélection, et non comme une note de bas de page. Le chip n’est pas la surface d’attaque qui détruira les portefeuilles des consommateurs en 2026 ; ce sont les fournisseurs du vendeur et vos propres réflexes qui en sont responsables.

Date d’expiration

Cette liste de vérifications expire dès que le domaine de phishing est supprimé et que le fournisseur compromis est identifié – c’est donc une étape de nettoyage, mais pas une solution efficace. Ce qui ne expire pas, c’est ce qui est indiqué en dessous : les vols sur la chaîne de blocs, comme celui lié à Coldcard, font l’objet d’articles importants. Mais les pertes que les propriétaires subissent en réalité proviennent de techniques de social engineering utilisant des histoires réelles ou des adresses e-mail empruntées.

Avant de prendre une mesure de sécurité « urgente » à nouveau, vérifiez ces trois choses : le destinataire renvoie-t-il les données vers un canal que vous avez créé vous-même ? Qui demande-rait le seed ? La vulnérabilité prétendue existe-t-elle vraiment pour votre portefeuille – ou seulement pour celui d’un concurrent ? La réponse à cette dernière question explique pourquoi ce phishing a presque réussi. C’est aussi pourquoi vous savez maintenant qu’il ne fonctionnera pas.