Voir la table des matières Ne plus voir la table des matières
- Un prétexte technique taillé pour le lecteur pressé
- Pourquoi les filtres antispam n’ont rien vu passer
- Brevo, un maillon partagé par des dizaines d’entreprises
- Les réflexes qui tiennent quand l’expéditeur est authentique
- Trois incidents en moins d’un mois chez deux prestataires
- La surface d’attaque a changé d’adresse
Le 9 septembre, des dizaines de milliers de détenteurs de portefeuilles matériels ont reçu un courriel d’alerte signé Trezor. Bonne adresse d’expéditeur, bon domaine, identité visuelle conforme : rien ne permettait de distinguer ce message d’un vrai. Il venait pourtant d’attaquants, et il visait la seule chose qu’un portefeuille matériel est censé mettre hors d’atteinte, la phrase de récupération.
Le phishing, ou hameçonnage, consiste à se faire passer pour un tiers de confiance afin d’obtenir une information que personne ne confierait à un inconnu. Sa version la plus redoutable ne falsifie pas l’expéditeur, elle emprunte purement et simplement le vrai. C’est ce qui s’est produit ici, parce que le prestataire d’envoi d’emails utilisé par la marque avait été compromis quelques heures plus tôt.
L’épisode déborde largement le cas Trezor. Deux autres acteurs crypto ont subi le même traitement le même jour, et leur point commun n’est pas leur produit mais leur sous-traitant. Si les contrôles techniques censés authentifier un expéditeur valident un message frauduleux, que reste-t-il à un utilisateur pour faire le tri ?
Un prétexte technique taillé pour le lecteur pressé
Le message annonce une « alerte de sécurité critique » portant sur une vulnérabilité d’entropie des puces STM32, celles qui équipent une bonne partie des Trezor en circulation. Une faille d’entropie désigne un défaut dans la génération aléatoire des clés, donc une compromission théorique de tous les appareils concernés. Le prétexte est grossier pour qui connaît le sujet, mais il coche la case de l’urgence.
Le lien du courriel renvoie vers une application à télécharger, présentée comme l’outil de mise en sécurité du solde. Cette application réclame ensuite la phrase de récupération de 12 ou 24 mots, la suite qui suffit à elle seule à reconstruire n’importe quelle clé privée associée au portefeuille. La saisir revient à remettre le coffre entier, pas un double de la clé de service.
Trezor a fait fermer le domaine frauduleux en vingt minutes. L’envoi avait déjà atteint environ 347 000 abonnés, et près de 2 500 personnes avaient cliqué sur le lien avant la coupure, d’après le Journal du Coin. Ce que ces visiteurs ont saisi dans l’application piégée reste inconnu à ce stade.
Pourquoi les filtres antispam n’ont rien vu passer
Trois contrôles techniques protègent normalement une boîte de réception contre l’usurpation d’expéditeur : SPF, DKIM et DMARC. Ils vérifient respectivement que le serveur émetteur est autorisé par le domaine, que le message n’a pas été altéré en route, et que les deux premiers s’accordent. Le faux mail a validé les trois, parce qu’il partait réellement du compte d’envoi de la marque.
Notre prestataire de messagerie tiers a été compromis. Veuillez noter que le courriel intitulé Alerte de sécurité critique : vulnérabilité d’entropie STM32 ne provient pas de nous et qu’il s’agit d’une tentative d’hameçonnage. Ne cliquez sur aucun lien.
Trezor, message publié sur son compte X officiel le 9 septembre 2026
Le fabricant tchèque sortait à peine d’un autre incident, la fuite chez son prestataire logistique annoncée mi-août. La séquence a de quoi désarçonner un utilisateur : le matériel n’a jamais été mis en cause, et pourtant les messages officiels de la marque sont devenus suspects. Le point de confiance s’est déplacé hors du produit.
Brevo, un maillon partagé par des dizaines d’entreprises
Le prestataire compromis est Brevo, plateforme d’envoi d’emails marketing qui s’appelait Sendinblue jusqu’en 2023 et que des dizaines d’entreprises utilisent pour leurs newsletters. L’éditeur a reconnu un incident de sécurité ayant permis à un attaquant d’accéder à 138 comptes clients, dont 6 ont servi à envoyer du phishing et 43 ont subi un export de leur base de contacts.
Deux autres acteurs crypto figurent parmi les victimes du même jour. Le fabricant suisse BitBox a repéré une campagne identique visant ses propres utilisateurs et a constaté que plusieurs entreprises bitcoin partageaient ce prestataire, d’après Bitcoin.com. CoinTracking, service de suivi de portefeuille et de déclaration fiscale, a demandé à ses utilisateurs de ne cliquer sur aucun lien tant que l’enquête n’est pas close.
Les réflexes qui tiennent quand l’expéditeur est authentique
L’authentification technique d’un message ne dit rien de son contenu. Quelques règles simples restent valables même lorsque le domaine émetteur est légitime, et seuls 2 500 destinataires sur 347 000 ont cliqué sur le lien piégé.
- Aucun fabricant sérieux ne demande une phrase de récupération, ni par courriel, ni par formulaire, ni par téléphone ;
- une alerte de sécurité authentique se retrouve toujours sur le site officiel ou le compte vérifié de la marque, adresse saisie à la main dans le navigateur ;
- un logiciel se télécharge depuis la page officielle du constructeur, jamais depuis un lien reçu ;
- l’urgence affichée est un signal d’alerte en soi, puisqu’elle vise précisément à couper le réflexe de vérification ;
- une mise à jour de firmware se déclenche depuis l’application officielle du fabricant, qui la propose d’elle-même.
Ces réflexes relèvent de la procédure plutôt que de la compétence technique. Le clic reste le seul moment réellement irréversible de la chaîne, et c’est aussi le seul que l’utilisateur contrôle de bout en bout. Tout le reste dépend de sous-traitants qu’il n’a pas choisis.
Trois incidents en moins d’un mois chez deux prestataires
La campagne du 9 septembre s’inscrit dans une série courte et dense. Trois épisodes distincts ont touché Trezor en quatre semaines, tous par l’intermédiaire d’un fournisseur, jamais par le matériel lui-même.
| Épisode | Date | Prestataire | Portée |
|---|---|---|---|
| Fuite de coordonnées clients | 13 août 2026 | ShipMonk, logistique | 13 689 clients |
| Réévaluation de la même fuite | début septembre 2026 | ShipMonk, logistique | 80 689 clients au total |
| Phishing depuis le domaine officiel | 9 septembre 2026 | Brevo, emailing | 347 000 destinataires |
Le tableau dit surtout ce qui n’a pas eu lieu : aucune clé, aucune sauvegarde et aucun portefeuille n’a été compromis sur ces trois épisodes. Ce qui a circulé, ce sont des noms, des adresses postales, des numéros de téléphone et une capacité d’envoi. Assez pour du démarchage frauduleux, des colis piégés ou une campagne de masse parfaitement crédible.
La surface d’attaque a changé d’adresse
Un portefeuille matériel isole la clé privée dans une puce sécurisée et ne la laisse jamais en sortir. Cette promesse a tenu sur les trois épisodes de l’été. Elle ne couvre simplement pas la boîte mail du fabricant, ni la base de données de son transporteur, ni la plateforme qui expédie ses newsletters.
Ce déplacement n’a rien de propre à la crypto, mais il y coûte nettement plus cher qu’ailleurs. Un virement bancaire frauduleux se conteste, une signature de transaction ne se défait pas, et la sécurisation d’un portefeuille matériel ne prévoit rien pour une phrase de récupération saisie volontairement. Le schéma a déjà servi ailleurs, avec l’usurpation des régulateurs européens pendant la bascule MiCA, et avec un faux courriel au nom de Ledger reçu début septembre.
Une dépendance mérite maintenant d’être regardée de près par les marques concernées. Une plateforme d’emailing mutualisée traite les listes de clients de dizaines d’entreprises à la fois, et sa compromission se propage instantanément à toutes. L’arbitrage entre le confort d’un service partagé et le coût d’une usurpation adressée à 347 000 personnes vient de recevoir une donnée de plus.
