Vous achetez un portefeuille froid pour qu’il ne soit pas connecté à Internet. Mais un acheteur en Indonésie a ouvert son Trezor et découvert une carte supplémentaire, capable de se connecter à Internet, cachée à l’intérieur. Il avait acheté un Safe 5 en août sur la plateforme indonésienne Tokopedia, auprès du distributeur sud-est asiatique CryptoBilis. En le recevant, il a senti que le poids n’était pas normal ; en l’ouvrant, il a trouvé une carte placée entre la carte mère et l’écran, équipée d’un module de communication mobile et d’une antenne. Selon lui, cette carte peut lire les mots de passe affichés à l’écran et les transmettre automatiquement via le réseau mobile dès qu’elle est branchée. L’appareil n’a pas encore été envoyé à l’usine ni vérifié par Trezor, mais l’entreprise a déjà émis une alerte : toute personne ayant acheté un Trezor chez CryptoBilis depuis mars de cette année, quel que soit le modèle, doit transférer rapidement ses actifs vers un nouveau portefeuille créé avec un nouveau mot de passe. Les nouveaux appareils seront envoyés gratuitement par l’usine. Pour l’instant, aucun vol n’a été signalé. Mais comme les portefeuilles sont auto-gérés, l’usine ne peut pas voir les soldes des utilisateurs : l’absence de signalement ne signifie pas qu’aucun utilisateur n’a été touché. Le mois dernier, Ledger a subi un scénario apparemment identique : un groupe a acheté des appareils authentiques, y a installé des composants cachés volant les mots de passe, puis les a revendus sur le marché via des distributeurs du Sud-Est asiatique. Selon Arkham, environ 95 millions de dollars ont été volés en trois jours. Chez Ledger, la vente a été suspendue dans six pays du Sud-Est asiatique ainsi qu’à Hong Kong.