Si un message intitulé « Alerte de sécurité critique : vulnérabilité d'entropie STM32 » est arrivé dans votre boîte de réception cette semaine, apparemment en provenance de Trezor, vous informant qu'un appareil sur quatre est livré avec une puce défectueuse et vous invitant à effectuer une vérification d'entropie dans votre navigateur, arrêtez. Ne cliquez sur rien dedans. Trezor ne l'a pas envoyé.
La société a confirmé mercredi que des attaquants s'étaient introduits dans son infrastructure de messagerie et l'avaient utilisée pour envoyer un faux avertissement de sécurité aux clients. L’e-mail est un récolteur de graines déguisé en excuses, et il s’agit de l’une des tentatives de phishing les plus convaincantes que l’espace du portefeuille matériel ait connue depuis des années.
Que prétend réellement la fausse alerte de sécurité Trezor ?
L’e-mail s’ouvre sur le ton d’une entreprise avouant un désastre. Il affirme que l'équipe d'ingénierie de Trezor a découvert un défaut matériel dans les microcontrôleurs STM32 à l'intérieur de ses appareils, que le défaut a été intégré en usine et qu'environ un appareil sur quatre est affecté. Il indique que le bug produit des phrases de récupération avec aussi peu que 40 bits d'entropie, laissant les graines ouvertes au craquage par force brute.
Il fait alors quelque chose d'intelligent. Il indique au lecteur de ne jamais saisir de phrase de récupération sur un site Web ni de la partager avec qui que ce soit. Deux paragraphes plus tard, il invite ce même lecteur à cliquer sur un lien et à exécuter un « outil de contrôle d'entropie » qui vérifie les sommes de contrôle BIP-39 sur des phrases de 12, 18 et 24 mots, valide les partages SLIP-39 et exporte les clés publiques étendues.
Cette contradiction est toute l’arnaque. L'avertissement achète de la crédibilité, puis l'outil collecte exactement ce que l'avertissement vous a dit de protéger. Quiconque utilise ce vérificateur remet suffisamment de matériel pour vider son portefeuille et, dans le cas d'une exportation xpub, remet une carte complète de ses adresses et de ses soldes, même sans la graine.
Pourquoi les utilisateurs de Trezor sont-ils tombés dans le piège de l'histoire du STM32 ?
Parce qu'un bug presque identique était réel il y a six semaines, mais dans une autre entreprise.
À partir du 30 juillet 2026, des attaquants ont exploité une faille du micrologiciel dans les portefeuilles Coldcard de Coinkite. Une régression expédiée en mars 2021 a amené les appareils concernés à générer des phrases de départ en utilisant une source aléatoire logicielle faible au lieu du générateur matériel de nombres aléatoires, réduisant ainsi l'entropie effective d'environ 128 bits à 40 bits sur certains modèles. Les attaquants ont drainé environ 1 816 BTC, soit près de 116 millions de dollars, sur plus de 5 200 adresses en quatre vagues. Les chiffres ultérieurs ont poussé ce chiffre à plus de 130 millions de dollars.
Relisez cela à l'e-mail de phishing. Quarante bits d'entropie. Graines générées avant une date limite. Exposition à la force brute. Migrez vers une nouvelle graine. Les escrocs n’ont pas inventé de modèle de menace. Ils en ont copié un document documenté, ont échangé le nom de la marque et l'ont envoyé à une liste de clients qui avaient passé le mois d'août à lire exactement ce mode de défaillance. C’est pourquoi cela a fonctionné auprès des personnes qui détectent généralement le phishing d’un seul coup d’œil.
Comment l’e-mail de phishing provient-il d’une véritable adresse Trezor ?
C’est la partie qui a supprimé les défenses habituelles. Le message ne provient pas d'un domaine similaire avec un caractère échangé. Il est arrivé via l'infrastructure d'envoi légitime de Trezor après que des attaquants ont compromis un fournisseur de messagerie tiers.
Trezor a déclaré avoir supprimé le domaine utilisé dans l'attaque et enquêter sur la manière dont les attaquants ont accédé à son domaine légitime. La société a déclaré que les portefeuilles, les clés privées et les sauvegardes de récupération stockées sur les appareils n'avaient jamais été exposés. Le compromis se trouvait dans le processus de commercialisation, pas dans le produit.
Le problème peut être plus large qu’une seule marque. Le co-fondateur de Casa, Nick Neuman, a déclaré qu'il avait entendu parler de la même campagne visant les utilisateurs de Bitbox et a suggéré qu'un fournisseur de messagerie marketing partagé avait été compromis.
Que devraient faire les propriétaires de Trezor dès maintenant ?
Si vous avez seulement ouvert et lu l'e-mail, rien n'est arrivé à vos fonds. Supprimez-le et continuez.
Si vous avez cliqué sur le lien et saisi une partie de votre phrase de récupération, un partage SLIP-39 ou le code PIN de votre appareil dans cette page, considérez la graine comme brûlée. Générez une nouvelle graine sur un appareil de confiance et déplacez tout immédiatement vers les nouvelles adresses. N'attendez pas de voir si quelque chose se passe et ne réutilisez pas l'ancienne sauvegarde pour quoi que ce soit.
Si vous avez exporté une clé publique étendue, vos fonds ne sont pas directement menacés, mais l'attaquant peut désormais surveiller vos soldes et lier vos adresses. Cela fait de vous une cible pour des escroqueries ultérieures, notamment des appels téléphoniques et des lettres physiques, que les clients de Trezor ont déjà signalés cette année.
À l’avenir, la règle reste inchangée et c’est la seule qui compte. Aucun fabricant de portefeuille légitime ne vous demandera jamais de saisir votre phrase de récupération dans un navigateur, pour quelque raison que ce soit, y compris une vérification prétendant vous protéger. Vérifiez les annonces sur trezor.io ou le compte Trezor vérifié sur X et traitez les e-mails inattendus comme hostiles, quelle que soit l'adresse d'où ils semblent provenir.
Cela fait-il partie d’un modèle plus vaste en 2026 ?
C’est vrai, et le modèle ne concerne pas les appareils cassés.
Il s'agit du troisième échec chez un fournisseur de Trezor en quatre semaines. Un incident en août chez ShipMonk, le partenaire chargé de l'exécution des commandes de Trezor, a poussé le nombre de clients exposés au-dessus de 80 000 début septembre, divulguant des noms, des numéros de téléphone et des adresses personnelles. Trezor avait déjà averti 66 000 utilisateurs après une violation du portail d'assistance en 2024, et son rival SafePal a divulgué près de 40 000 enregistrements le mois dernier.
Le matériel tient toujours. Les entreprises installées autour du matériel, détenant les coordonnées des clients, continuent de divulguer des fuites. Combinez une liste de clients divulguée avec un domaine d'envoi compromis et une réelle vulnérabilité chez un concurrent, et vous obtenez un e-mail de phishing qui se lit comme un véritable article.
Pour toute personne détenant des pièces sur un portefeuille matériel, la conclusion pratique est que la sécurité de votre appareil et la sécurité de vos données sont désormais deux questions distinctes, et qu'une seule d'entre elles est entre vos mains.