Le fabricant de portefeuilles matériels Trezor a déclaré que l’un de ses prestataires tiers avait été victime d’une faille de sécurité et a averti les utilisateurs qu’un e-mail intitulé « Alerte de sécurité critique : vulnérabilité de l’entropie STM32 » n’avait pas été envoyé par l’entreprise, mais qu’il s’agissait d’une tentative d’hameçonnage.
L’entreprise a exhorté les utilisateurs à ne cliquer sur aucun lien.
Arnaque par hameçonnage visant Trezor
Dans une mise à jour publiée sur X, Trezor a indiqué avoir désactivé le domaine et enquêter sur la manière dont les pirates avaient accédé à son domaine légitime. Le message d’hameçonnage en question tentait de convaincre les utilisateurs qu’une grave faille de sécurité avait été découverte dans les microcontrôleurs STM32 utilisés dans ses appareils. Selon cet avertissement fabriqué de toutes pièces, les microcontrôleurs STM32 pourraient générer des phrases de récupération sans un niveau d’aléatoire suffisant, ce qui pourrait mettre les fonds des utilisateurs en danger. L’e-mail affirme également que jusqu’à 25 % des appareils pourraient être concernés.
Selon Nick Neuman, PDG et cofondateur de Casa, le problème pourrait ne pas se limiter aux utilisateurs de Trezor. Il a relevé que des signalements de messages similaires avaient également été rapportés par des personnes utilisant l’appareil BitBox.
Ce n’est pas la première fois qu’un partenaire tiers lié à Trezor est victime d’une faille de sécurité. En août, la plateforme avait révélé un incident de sécurité similaire impliquant son partenaire logistique, ShipMonk, qui avait compromis des données personnelles concernant un grand nombre de clients.
Les informations exposées comprenaient des coordonnées et des données de livraison. Une première divulgation faisait état de 13 689 personnes touchées. Cependant, Trezor a ensuite confirmé qu’environ 67 000 clients américains supplémentaires avaient été concernés, portant à 80 689 le nombre de personnes dont les informations ont été exposées.
Préoccupations concernant le matériel
Un test de sécurité distinct a également soulevé des inquiétudes au sujet de la puce TROPIC01 présente dans le portefeuille Safe 7 de Trezor. En juin, les chercheurs de Donjon, chez Ledger, ont découvert qu’avec du matériel spécialisé et un accès physique à un appareil, un attaquant pouvait perturber la puce pendant qu’elle vérifie le micrologiciel.
Les chercheurs ont utilisé un laser de 1064 nm soigneusement focalisé pour provoquer des défaillances lors du démarrage et de la mise à jour. Cela pourrait permettre à un micrologiciel modifié de s’exécuter. Trezor a toutefois déclaré que cette découverte ne mettait pas les fonds des utilisateurs en danger.
L’enquêteur spécialisé dans les blockchains ZachXBT a déjà été assez catégorique au sujet des portefeuilles matériels. Il avait déclaré auparavant que tous les portefeuilles matériels étaient « de la merde » et qu’il ne les utiliserait pas pour des transactions importantes ni pour stocker des fonds. Il a plutôt suggéré de garder un iPhone séparé uniquement pour utiliser un portefeuille.
Source : CryptoPotato
