Trezor et Tropic Square ont divulgué une faille dans la puce TROPIC01 découverte par Ledger Donjon, mais ont déclaré que le portefeuille Trezor Safe 7 et les fonds des utilisateurs restent sécurisés.
Résumé
- Trezor affirme que les fonds des utilisateurs de Safe 7 restent en sécurité car trois couches matérielles protègent l'accès au portefeuille.
- Ledger Donjon a découvert la faille TROPIC01 lors de tests en laboratoire utilisant des techniques d'injection de fautes laser.
- Tropic Square a révélé publiquement la faille et a déclaré que le problème de la puce nécessite un accès physique au laboratoire.
La vulnérabilité a été découverte lors d'un audit indépendant de la puce TROPIC01 Secure Element. Ledger Donjon, l'équipe de recherche en chapeau blanc du fabricant rival de portefeuilles matériels Ledger, a effectué l'examen.
Tropic Square a confié la puce à Ledger Donjon pour des tests. Trezor a déclaré que la faille affecte l'une des trois couches de sécurité indépendantes du portefeuille Safe 7.
Selon la divulgation, Ledger Donjon a déclaré à Tropic Square en janvier 2026 qu'il avait mené une attaque par injection de fautes laser dans des conditions de laboratoire. L'attaque a permis aux chercheurs d'extraire certains secrets de la puce et de contourner les vérifications de signature du micrologiciel.
Tropic Square a ensuite trouvé un autre moyen d'utiliser la même faiblesse. Cette méthode pourrait révéler un autre secret lié aux fonctions de la puce liées au code PIN.
Trezor affirme que les fonds restent protégés
Trezor a déclaré que les utilisateurs n'ont pas besoin de prendre de mesures. La société a déclaré qu'une compromission de TROPIC01 à elle seule ne donne pas accès au code PIN, au portefeuille ou aux fonds d'un utilisateur.
« Étant donné que Trezor Safe 7 a été construit avec plusieurs couches de sécurité indépendantes, une vulnérabilité dans TROPIC01 ne met pas en danger les fonds des utilisateurs », a déclaré Matej Žák, PDG de Trezor.
Le problème se situe au niveau matériel, il ne peut donc pas être résolu via une mise à jour normale du micrologiciel à distance. Trezor et Tropic Square ont tout de même choisi la divulgation publique après avoir examiné les conclusions de Ledger Donjon.
Le Safe 7 utilise TROPIC01 avec deux autres puces. Sa conception combine TROPIC01, OPTIGA Trust M et STM32U5 pour protéger les contrôles PIN, l'authenticité des appareils et la création de portefeuille.
Les audits des portefeuilles matériels restent au centre des préoccupations
La divulgation donne une rare vision publique des tests de sécurité concurrents sur le marché des portefeuilles matériels. Ledger Donjon a déjà examiné les appareils Trezor et publié des recherches sur les voies d'attaque physique.
Comme indiqué précédemment par crypto.news, Ledger Donjon a déclaré plus tôt que les appareils Trezor Safe étaient toujours confrontés à des risques d'attaque physique liés à l'utilisation du microcontrôleur. Trezor avait déclaré à l'époque que les fonds des utilisateurs restaient en sécurité lorsque les appareils provenaient de sources officielles.
Une couverture distincte de crypto.news a également averti que certains portefeuilles matériels utilisant des puces ESP32 étaient confrontés à des risques de vol de clé privée. Ce rapport a montré que les failles au niveau des puces restent un problème de sécurité majeur pour les dispositifs de conservation cryptographique.
Le modèle de sécurité ouvert est confronté à de véritables tests
Tropic Square commercialise TROPIC01 comme un élément sécurisé ouvert et auditable. La société affirme que la puce permet aux chercheurs d'inspecter et de tester du matériel qui resterait souvent fermé sous des conditions de non-divulgation.
La nouvelle faille montre que les tests ouverts peuvent révéler des faiblesses avant les attaquants. Cela montre également que la sécurité du portefeuille matériel dépend de la conception complète de l’appareil, et non d’une seule puce.
Pour les utilisateurs, les principales orientations restent simples. Ils doivent acheter des appareils sur les canaux officiels, maintenir le micrologiciel à jour, protéger les phrases de récupération hors ligne et éviter d'utiliser un portefeuille présentant des signes de falsification.
Voir l’article original en anglais
