Crypto : Face aux Ledger modifiés, Trezor resserre son réseau de revendeurs

Trezor va réduire son réseau de revendeurs agréés à partir du 1er janvier 2027. Datant du 13 octobre 2026, cette annonce intervient après des incidents de sécurité touchant des portefeuilles Ledger vendus par CryptoBilis. La mesure vise à renforcer le contrôle des appareils avant leur livraison. D’autant qu’aucun appareil Trezor compromis n’a été identifié à ce stade.

Crypto : pourquoi Trezor réduit-il son réseau de revendeurs ?

Dans une lettre aux partenaires rendue publique le 13 octobre 2026, le directeur commercial de Trezor, Danny Sanders, annonce le retrait d’agrément d’une partie de ses revendeurs crypto. Le but : renforcer le contrôle de la chaîne d’approvisionnement.

Ces derniers ne recevront plus de nouvelles livraisons. Ils pourront néanmoins vendre les appareils déjà disponibles jusqu’au 1er janvier 2027. Trezor leur laisse donc la période du Black Friday et des fêtes avant leur retrait de la liste officielle.

Pour l’heure, le nombre exact de revendeurs agréés affectés par cette annonce reste inconnu. Il en est de même pour les marchés concernés. Trezor jugera chaque pays à part selon :

• le chiffre d’affaires ;
• la distribution ;
• sa présence locale.

Lors d’un relevé daté du 13 octobre 2026, le fabricant comptait 87 entrées dans son annuaire (réparties dans 44 pays). Cela correspond à 80 noms distincts, certains vendeurs apparaissant dans plusieurs pays. Ce chiffre décrit l’annuaire observé à cette date. Il ne correspond pas au nombre de revendeurs qui seront retirés.

Néanmoins, Trezor souligne d’ores et déjà un point important : les partenaires conservés signeront un cadre plus strict sur l’approvisionnement, le stockage et la manipulation des appareils. Danny Sanders insiste sur le caractère préventif de la mesure. Il présente également ses excuses aux entreprises touchées.

Il n’existe pas le moindre élément prouvant que les appareils Trezor ont été compromis.

Danny Sanders, directeur commercial de Trezor, lettre aux revendeurs du 13 octobre 2026, traduite de l’anglais.

Crypto : comment l’implant des Ledger modifiés a-t-il fonctionné ?

L’incident concerne des wallets crypto Ledger vendus par CryptoBilis, un revendeur d’Asie du Sud-Est. La première confirmation concerne l’appareil d’un utilisateur crypto remonte au 10 octobre.

Selon Ledger, ces appareils contenaient un composant matériel non autorisé capable de lire la phrase de récupération affichée pendant la configuration, puis de l’envoyer par réseau mobile. Plus explicitement, lorsque l’implant détecte ces écrans, son microcontrôleur décode les mots, puis les transmet par LTE grâce à une eSIM. Ce qui peut donner à l’attaquant l’accès aux actifs crypto, sans qu’il conserve l’appareil.

Ledger précise néanmoins un point important :

L’implant est un composant distinct. Il ne modifie ni le Secure Element ni le système d’exploitation Ledger, et n’altère pas les transactions ou les signatures.

Ledger, déclaration du 13 octobre 2026, traduite de l’anglais.

Autrement dit, l’implant matériel contourne la protection en captant une information affichée à l’utilisateur. Toujours est-il que l’attaque se joue avant la remise de l’appareil. D’où l’enjeu de chaîne d’approvisionnement

Les pertes restent des estimations non confirmées

Certains chercheurs et médias rapportent des estimations allant jusqu’à 93,2 millions de dollars de pertes, réparties sur plus de 300 wallets crypto. Ces chiffres ont notamment été cités par CoinDesk, mais Ledger ne les a pas validés.

D’autres estimations circulent, entre plus de 86 millions et 103 millions de dollars. Elles proviennent de tiers et diffèrent selon :

• la méthode de comptabilisation ;
• les wallets crypto retenus ;
• la date d’observation.

Elles ne doivent donc pas être présentées comme un bilan définitif.

Pour sa part, Ledger n’a confirmé ni le nombre total d’utilisateurs crypto touchés ni la valeur totale perdue. L’entreprise indique cependant que toutes les pertes confirmées liées à l’incident divulgué le 9 octobre concernent des appareils vendus par CryptoBilis. Jusqu’à aujourd’hui, elle poursuit l’examen de signalements provenant d’autres lieux.

Nous n’avons pas confirmé le nombre total d’utilisateurs concernés ni la valeur totale perdue. Les chiffres qui circulent en ligne proviennent de tiers et n’ont pas été pleinement vérifiés par Ledger.

Ledger, déclaration du 13 octobre 2026, traduite de l’anglais.

Comment acheter un wallet crypto Trezor en sécurité ?

Un partenaire actuellement autorisé pourrait ne plus figurer dans l’annuaire de Trezor après le 1er janvier 2027. Pour un nouvel achat crypto, la vérification doit donc porter sur le statut du distributeur au moment de la commande.

Trezor invite également à vérifier les scellés et à effectuer les contrôles d’authenticité dans Trezor Suite. En cas d’anomalie dans les instructions de configuration ou le micrologiciel, il est impératif de contacter son assistance. Le fabricant rappelle de ne jamais saisir les mots de sauvegarde dans un site, une application ou un formulaire.

Chez Ledger, les consignes sont plus ciblées. Un appareil acheté chez CryptoBilis et jamais configuré ne doit pas être initialisé. S’il a déjà été utilisé, Ledger demande de transférer les actifs crypto vers un nouvel appareil avec une nouvelle phrase de récupération.

Avec Trezor, la sécurité crypto revient en tout cas à une question industrielle : qui contrôle l’appareil avant sa livraison ? Le resserrement du réseau pourrait améliorer la traçabilité. Son effet sur l’accès aux produits reste cependant à mesurer, marché par marché. À suivre…