La société de portefeuille matériel Trezor et le fabricant de puces Tropic Square ont révélé une vulnérabilité dans l'une des trois couches de sécurité indépendantes du portefeuille matériel Trezor Safe 7, affirmant que la faille ne met pas en danger les fonds des utilisateurs.
La vulnérabilité a été identifiée lors d'un audit de sécurité indépendant mené par Ledger Donjon, l'équipe de recherche en sécurité du fabricant de portefeuille matériel rival Ledger, selon une déclaration de Trezor envoyée à Cointelegraph.
Tropic Square a fourni la puce TROPIC01 Secure Element concernée à l'équipe Ledger Donjon pour un audit indépendant. Trezor a déclaré que compromettre TROPIC01 ne suffirait pas à lui seul pour accéder au portefeuille, au code PIN ou aux fonds d'un utilisateur, car Safe 7 repose sur plusieurs couches de sécurité indépendantes, y compris un autre élément sécurisé.
La divulgation offre un rare aperçu public de la façon dont les fabricants de portefeuilles matériels gèrent les failles de sécurité au niveau des puces et met en évidence le rôle croissant des chercheurs indépendants dans les tests des dispositifs de conservation cryptographique.
Une faille est apparue lors de tests de sécurité indépendants
Selon Trezor, la vulnérabilité a été découverte lors d'un examen de sécurité indépendant initié par Tropic Square après le lancement de son élément sécurisé TROPIC01 début 2025.
Donjon de Ledger a informé Tropic Square en janvier 2026 qu'il avait mené avec succès une attaque par injection de fautes laser contre la puce, permettant aux chercheurs d'extraire certains secrets détenus par la puce et de contourner la vérification de la signature du micrologiciel dans des conditions de laboratoire.
TROPIC01 est l'un des deux éléments sécurisés de Trezor Safe 7, lancé en octobre 2025. Source : SatoshiLabs
Après avoir examiné les conclusions de Ledger Donjon, les ingénieurs de Tropic Square ont identifié une méthode supplémentaire pour exploiter la faiblesse qui pourrait révéler un autre secret détenu par la puce lié aux fonctions liées au code PIN.
La société a informé ses partenaires, dont Trezor, et a choisi de divulguer publiquement la vulnérabilité parallèlement aux recherches de Donjon.
En rapport: L'affirmation « Tous les DeFi sont dangereux » déclenche un débat sur la sécurité de l'IA après la vague de piratage en avril
Trezor dit que les utilisateurs n'ont rien à faire
Trezor a déclaré que les utilisateurs n'avaient aucune mesure à prendre après la divulgation, ajoutant que la vulnérabilité n'affectait pas les fonds stockés sur l'appareil, car compromettre TROPIC01 à lui seul ne suffisait pas pour accéder au portefeuille, au code PIN ou aux fonds.
Comme le problème existe au niveau matériel, il ne peut pas être résolu via une mise à jour à distance du micrologiciel.
« Étant donné que Trezor Safe 7 a été construit avec plusieurs couches de sécurité indépendantes, une vulnérabilité dans TROPIC01 ne met pas en danger les fonds des utilisateurs », a déclaré Matej Žák, PDG de Trezor.
Source : Trezor
Trezor a noté que l'équipe Donjon de Ledger avait déjà publié des recherches indépendantes sur la sécurité de ses appareils, notamment un rapport sur le Trezor Safe 3 démontrant une attaque impliquant une interception physique de type chaîne d'approvisionnement, un dessoudage et une modification de l'appareil avant qu'il n'atteigne les utilisateurs.
La société a répondu publiquement à l'époque et a continué à se durcir contre de tels vecteurs d'attaque, ajoutant qu'elle n'était au courant d'aucun fonds d'utilisateur compromis.
Cointelegraph a contacté Trezor concernant les audits des deux autres puces utilisées dans le Safe 7, ainsi que des puces des itérations précédentes de l'appareil, mais n'a pas reçu de réponse par publication.
Revue: La bataille juridique pour savoir qui peut réclamer les millions volés par DeFi
Voir l’article original en anglais
