Trezor : une fausse application vole des phrases de récupération

Une fausse application Trezor cherchait à récupérer des phrases de récupération, d’après l’analyse de Rapid7. Le groupe de cybersécurité a recensé 316 002 numéros allemands et 43 066 comptes Crypto.com vérifiés. L’analyse ne confirme toutefois ni le nombre de victimes ni le montant volé. La campagne rappelle une limite souvent oubliée : un portefeuille matériel protège les clés tant que la phrase reste hors ligne.

Au programme

• Rapid7 a recensé 316 002 numéros allemands et 43 066 comptes Crypto.com vérifiés.
• La fausse application imitait l’environnement Trezor pour obtenir les mots de récupération.
• Une phrase saisie dans un logiciel frauduleux impose de déplacer les fonds vers un nouveau wallet.

Comment la fausse application Trezor opérait-elle ?

La campagne reposait sur une imitation du logiciel Trezor. Son objectif était de pousser l’utilisateur à saisir les 12 ou 24 mots de sa phrase de récupération. Cette suite permet de restaurer un portefeuille et, surtout, de recréer les clés nécessaires pour signer des transactions. Une personne qui l’obtient peut donc tenter de transférer les actifs, même si l’appareil physique reste intact.

Crypto Times a relayé les éléments techniques de l’opération. Le rapport ne fournit pas de bilan financier et ne confirme pas que chaque compte repéré ait subi un vol. Rapid7 a néanmoins documenté une collecte structurée, avec 316 002 numéros de téléphone allemands examinés et 43 066 comptes Crypto.com vérifiés identifiés.

Le procédé ne nécessite pas de casser le chiffrement de Trezor. Il exploite une erreur humaine : croire qu’un écran ressemblant à l’application officielle peut légitimement demander une information secrète. Les risques rejoignent ceux décrits dans notre dossier sur les seed phrases volées sur Trezor et Ledger.

Pourquoi une seed phrase suffit-elle à compromettre un wallet ?

Une phrase de récupération suffit à reconstituer l’accès cryptographique à un portefeuille. Elle ne fonctionne pas comme un simple mot de passe : elle permet de dériver les clés de plusieurs réseaux et comptes associés. Un Trezor intact ne bloque donc pas un tiers qui possède les mots. La protection matérielle cesse d’être utile dès que la phrase sort de l’appareil.

Une application officielle ne demande pas cette phrase pour une opération courante. Les signaux d’alerte sont nets :

• demande des 12 ou 24 mots lors d’une connexion ;
• nom d’éditeur légèrement différent de Trezor ;
• téléchargement depuis une publicité, un message ou une boutique non vérifiée ;
• pression exercée pour agir rapidement.

L’installation doit venir du site officiel de Trezor ou d’une source explicitement validée par l’entreprise. Le choix d’un hardware wallet adapté à ses usages ne remplace pas ces contrôles. La sécurité dépend aussi du parcours logiciel.

Quelles victimes l’opération cherchait-elle à identifier ?

Le ciblage associait des numéros allemands à des comptes [Crypto.com](/avis/crypto-com/) vérifiés. Rapid7 indique 43 066 comptes dans cette seconde catégorie, sans établir que leurs propriétaires aient tous reçu l’application frauduleuse ou perdu des fonds. Cette distinction sépare une base de données ciblée d’une liste de victimes confirmées.

Les informations pouvaient servir à personnaliser les messages, à repérer des utilisateurs actifs ou à classer des profils selon leur intérêt financier. La présence d’un numéro ou d’un compte dans les données ne prouve donc pas une compromission. Le montant total des actifs éventuellement dérobés demeure inconnu.

Une victime potentielle doit vérifier l’historique des transactions, les adresses de destination et les autorisations inhabituelles. La fuite de données Trezor ayant touché 13 689 clients rappelle qu’une exposition peut commencer par des données personnelles, avant tout mouvement sur la blockchain. Le danger change d’échelle si la phrase de récupération a été saisie.

Le point central n’est pas la marque Trezor, mais la frontière entre sécurité matérielle et comportement de l’utilisateur. Le portefeuille protège les clés lorsqu’elles restent dans l’appareil. Il ne peut plus empêcher un vol après divulgation volontaire de la phrase.

Que faire après une installation suspecte ?

La réaction dépend de l’information communiquée. Si l’utilisateur a seulement installé l’application sans saisir sa phrase, il doit la supprimer, contrôler les extensions du navigateur et effectuer une analyse de sécurité. Les mots de passe associés peuvent aussi être renouvelés, avec une authentification à plusieurs facteurs.

Si la phrase a été saisie, le portefeuille doit être considéré comme compromis. Il faut créer un nouveau wallet avec une phrase différente, puis transférer les actifs restants vers les nouvelles adresses. Cette opération doit être préparée avec soin, car le portefeuille compromis peut être surveillé ou vidé dès qu’un dépôt apparaît.

Les transactions inconnues doivent être conservées avec leurs adresses et identifiants. Ces éléments peuvent aider un échange ou un enquêteur à retracer les mouvements, sans garantir une récupération. Un changement de mot de passe ne suffit pas : la phrase compromise reste exploitable. Les campagnes de fausse livraison et prise d’otage montrent aussi que les escrocs combinent souvent pression psychologique et collecte de données.

Questions fréquentes

Une application Trezor peut-elle demander la seed phrase ?

Non. Une application légitime ne demande pas les 12 ou 24 mots pour une opération courante. Cette phrase sert à restaurer un portefeuille et doit rester hors ligne. Une demande inattendue signale une tentative d’hameçonnage. Après une saisie, le wallet concerné doit être traité comme compromis.

Que faire si la phrase a été saisie ?

Créez un nouveau portefeuille avec une phrase différente et transférez rapidement les actifs restants. Vérifiez les transactions et conservez les adresses impliquées. Modifier un mot de passe ne règle pas le problème : une phrase compromise permet encore de recréer les clés et de signer des transferts.

Combien de personnes ont été ciblées ?

Rapid7 a recensé 316 002 numéros allemands et 43 066 comptes Crypto.com vérifiés. Ces chiffres mesurent l’ampleur de la collecte, pas le nombre de victimes confirmées. Ni le nombre exact de portefeuilles compromis ni le montant total des fonds volés n’ont été établis.

À retenir

La campagne documentée par Rapid7 ciblait des utilisateurs allemands et des comptes Crypto.com vérifiés au moyen d’une fausse application Trezor. Les chiffres disponibles, 316 002 numéros et 43 066 comptes, décrivent le ciblage, non les pertes. Une phrase de récupération ne doit jamais être saisie dans un logiciel, un formulaire ou un message.