Un concurrent de Ledger découvre une faille dans le nouveau portefeuille Trezor

Trezor a découvert une vulnérabilité dans une puce de sécurité de son nouveau portefeuille matériel Safe 7. La faille a été identifiée lors d’une enquête indépendante menée par Ledger Donjon, l’équipe de sécurité du concurrent Ledger. Selon Trezor, la vulnérabilité ne présente pas de risque pour les avoirs en cryptomonnaies des utilisateurs, car le portefeuille est équipé de plusieurs couches de sécurité.

Vulnérabilité découverte lors de l’enquête de Ledger

La vulnérabilité réside dans la puce TROPIC01 Secure Element, développée par le fabricant de puces Tropic Square. Cette puce est conçue pour protéger des données sensibles, telles que les clés cryptographiques, contre les attaques extérieures.

L’équipe de sécurité Ledger Donjon a eu accès à la puce pour un audit indépendant et a réussi, dans des conditions de laboratoire, à effectuer une attaque par injection laser avancée. Les chercheurs ont pu extraire certaines informations confidentielles de la puce et contourner la vérification des signatures firmware.

Après avoir étudié les résultats, les ingénieurs de Tropic Square ont identifié une méthode d’attaque supplémentaire. Celle-ci pourrait potentiellement donner accès à d’autres informations sensibles à l’intérieur de la puce, liées aux fonctions de code PIN.

Les fonds des utilisateurs ne sont pas en danger

Malgré ces découvertes, Trezor souligne que les utilisateurs ne risquent pas de perdre leurs cryptomonnaies. Selon l’entreprise, la puce TROPIC01 n’est qu’un composant d’un système de sécurité plus large.

Pour accéder à un portefeuille, les attaquants devraient franchir plusieurs couches de sécurité indépendantes. Compromettre uniquement la puce concernée ne suffirait pas, selon Trezor, pour accéder à un portefeuille, un code PIN ou des fonds en cryptomonnaies.

« Le Trezor Safe 7 est conçu avec plusieurs couches de sécurité indépendantes. Une vulnérabilité dans la puce TROPIC01 ne met donc pas en péril les fonds des utilisateurs », a déclaré Matej Žák, dirigeant de Trezor.

Trezor affirme que les utilisateurs n’ont pas besoin de prendre des mesures à la suite de cette divulgation.

Problème matériel ne pouvant être résolu par une mise à jour

Étant donné que la faille de sécurité se situe au niveau matériel, elle ne peut pas être corrigée par une mise à jour du firmware. Contrairement aux problèmes logiciels, la vulnérabilité est physiquement présente dans la puce elle-même.

Selon Trezor, cela ne change rien à la sécurité du portefeuille matériel. Les autres mécanismes de sécurité du Safe 7 continuent de fonctionner comme prévu et protègent les fonds des utilisateurs.

Aperçu rare de la sécurité des portefeuilles matériels

La déclaration conjointe de Trezor, Tropic Square et Ledger offre un aperçu rare de l’envers du décor de l’industrie des portefeuilles matériels. Les fabricants rendent rarement publiques les vulnérabilités au niveau des puces.

La vulnérabilité a été révélée lors d’une enquête initiée par Tropic Square après l’introduction de la puce TROPIC01 début 2025. Après que Ledger Donjon ait partagé ses conclusions en janvier 2026, des partenaires comme Trezor ont été immédiatement informés.

Finalement, les parties concernées ont décidé de rendre publiques les résultats afin de promouvoir la transparence dans le secteur.

Ledger avait déjà trouvé des vulnérabilités dans les appareils Trezor

Ce n’est pas la première fois que Ledger Donjon mène des recherches sur la sécurité des produits Trezor. Précédemment, l’équipe a publié un rapport sur le Trezor Safe 3, décrivant une attaque où un appareil était physiquement intercepté et modifié avant d’atteindre l’utilisateur final.

Trezor affirme avoir mis en place des mesures de sécurité supplémentaires à la suite de recherches antérieures. Selon l’entreprise, il n’existe à ce jour aucun cas connu où les avoirs des utilisateurs ont réellement été compromis par de telles vulnérabilités.

La nouvelle divulgation souligne, selon les parties concernées, l’importance des audits de sécurité indépendants et des contrôles continus dans le secteur des cryptomonnaies, où la protection des actifs numériques est primordiale.