Trezor : piratage email, phishing depuis le domaine officiel

Ce qui s'est passé

Le 9 septembre 2026, les clients de Trezor — fabricant tchèque de hardware wallets reconnu comme l'un des plus sûrs du marché — ont reçu un e-mail d'alerte de sécurité en apparence parfaitement légitime. L'objet du message : « Critical Security Alert: STM32 Entropy Vulnerability ». Le corps du mail avertissait les destinataires que leurs portefeuilles matériels seraient exposés à des attaques par force brute en raison d'une entropie insuffisante, décrite comme « critically low 40-bit entropy », dans les composants STM32 utilisés dans leurs appareils.

La mécanique de l'attaque est particulièrement redoutable : le message émanait du domaine officiel de Trezor, passait avec succès les contrôles SPF, DKIM et DMARC, et arborait les visuels habituels de la marque. Pour un utilisateur non averti, rien ne permettait de distinguer ce phishing d'une vraie communication de l'entreprise. C'est précisément parce que le prestataire de messagerie tiers de Trezor avait été compromis que les attaquants disposaient de la capacité d'injecter des messages signés dans l'infrastructure e-mail officielle.

Trezor a confirmé la compromission de son fournisseur externe de messagerie dans un avis publié le jour même. L'entreprise a précisé que ses propres serveurs, le firmware des appareils, les clés privées des utilisateurs et les sauvegardes de recovery n'avaient pas été exposés dans cette intrusion. La faille se situait exclusivement côté prestataire de services de délivrance d'e-mails, un acteur que de nombreuses entreprises tech externalisent pour gérer leurs campagnes transactionnelles et leurs alertes automatisées.

La même journée, l'entreprise suisse BitBox signalait recevoir des rapports d'utilisateurs ayant reçu des e-mails de phishing quasi-identiques, le même 9 septembre. La similarité du contenu, du calendrier et de la technique utilisée pointe vers une infrastructure d'attaque partagée ou vers une compromission du même fournisseur de messagerie utilisé par les deux sociétés. Aucune des deux entreprises n'a divulgué publiquement le nom du prestataire impacté.

La campagne de phishing visait un objectif précis : inciter les victimes à cliquer sur un lien et à saisir leur phrase de récupération de 12 ou 24 mots (la seed phrase) sous prétexte d'une procédure de mise à jour d'urgence. Sur un hardware wallet, la seed phrase est l'ultime mécanisme de récupération des fonds. Toute personne en possession de cette séquence de mots peut restaurer le portefeuille sur n'importe quel appareil et transférer immédiatement l'intégralité des cryptomonnaies stockées.

Trezor a réagi rapidement en faisant retirer le domaine utilisé par les attaquants pour héberger la fausse page de vérification. L'entreprise a également publié une communication officielle sur ses canaux vérifiables — site web, réseaux sociaux — pour alerter ses utilisateurs et leur préciser qu'aucune mise à jour légitime ne nécessite de saisir une seed phrase en ligne, quelle que soit la circonstance.

L'incident intervient dans un contexte d'intensification des attaques ciblant les détenteurs de cryptomonnaies en 2026. Selon les données de la société de cybersécurité Chainalysis, les pertes liées aux arnaques crypto par ingénierie sociale ont augmenté de 34 % en glissement annuel sur les huit premiers mois de l'année. Les campagnes de phishing exploitant des fournisseurs de messagerie compromis représentent une tendance croissante, car elles contournent les défenses techniques traditionnelles — filtres anti-spam, authentification DMARC — qui ont pourtant été conçues exactement pour prévenir ce type d'usurpation.

À l'heure de la rédaction de cet article, Trezor n'a confirmé aucune perte financière liée à cette campagne. L'enquête est en cours pour déterminer l'étendue de la compromission chez le prestataire email et identifier les éventuels autres clients de ce dernier potentiellement affectés. Les utilisateurs de Trezor et de BitBox sont fortement invités à ignorer tout e-mail leur demandant d'effectuer des actions concernant leur seed phrase, et à vérifier toute communication officielle exclusivement via les canaux authentifiés des fabricants.

Pourquoi c'est important

Cet incident illustre une menace croissante que les professionnels de la sécurité désignent sous le terme de « supply chain email attack » ou compromission de prestataire de messagerie. Contrairement aux attaques classiques de spoofing d'e-mail, où les attaquants tentent d'imiter un domaine légitime (par exemple trez0r.com au lieu de trezor.com), cette technique exploite directement l'infrastructure légitime d'une entreprise en ciblant son maillon le plus faible : un fournisseur tiers qui gère l'envoi des e-mails transactionnels. Le résultat est dévastateur du point de vue de la crédibilité : l'e-mail est techniquement authentique.

Le secteur des cryptomonnaies est une cible de choix pour ce type d'attaques, car les gains potentiels sont immédiats et irréversibles. Contrairement aux virements bancaires, qui peuvent être bloqués ou annulés dans les heures suivant une fraude, un transfert de cryptomonnaies sur la blockchain est définitif. Il n'existe aucun mécanisme de rétrofacturation, aucun organisme de garantie des dépôts, aucun recours judiciaire rapide. Ce caractère irréversible place les détenteurs de hardware wallets dans une position de vulnérabilité extrême face aux techniques d'ingénierie sociale sophistiquées.

Pour les entreprises du secteur tech et fintech, l'incident Trezor soulève une question stratégique : comment gérer la sécurité de la chaîne de sous-traitants numériques, notamment les prestataires SaaS de messagerie ? Ces services — qu'il s'agisse de plateformes d'e-mailing transactionnel ou de marketing automation — ont accès à des données de contact précieuses (base clients) et à la capacité d'envoyer des messages signés au nom de l'entreprise. Un audit régulier des fournisseurs tiers, la mise en place de contrôles d'accès stricts et la surveillance continue des flux d'e-mails sortants devraient figurer dans tout programme de gestion des risques cybersécurité en 2026.

Du côté réglementaire, l'incident rappelle les exigences croissantes de NIS2 et DORA en matière de gestion des risques liés aux tiers (third-party risk management). DORA, applicable dans le secteur financier depuis janvier 2025, impose aux entités financières de cartographier et d'évaluer régulièrement leurs prestataires ICT critiques. Si Trezor n'entre pas directement dans le périmètre réglementaire DORA, les exchanges et les custodians qui intègrent ses solutions y sont soumis. L'incident de ce 9 septembre pourrait accélérer les discussions réglementaires sur l'extension de ces obligations aux fournisseurs de la chaîne de valeur crypto.

Ce qu'il faut retenir

• Un e-mail provenant d'un domaine officiel et passant les contrôles DKIM/DMARC peut être frauduleux si le prestataire email de l'entreprise est compromis.
• Aucune entreprise légitime — ni Trezor, ni aucun autre fabricant de hardware wallet — ne demandera jamais votre seed phrase par e-mail ou sur un site web.
• Les entreprises doivent auditer régulièrement leurs prestataires de messagerie tiers et limiter leurs accès au strict nécessaire pour réduire la surface d'attaque supply chain.