Attention si tu as un Trezor : les mails d'alerte STM32 sont faux

Si tu as un portefeuille Trezor, vérifie ta boîte mail avant de cliquer quoi que ce soit. Sur son compte X officiel, l'entreprise de portefeuilles matériels (ces petites clés physiques qui gardent tes clés privées hors ligne) prévient : son prestataire e-mail a été piraté, et des tentatives d'hameçonnage partent désormais de sa vraie adresse, help@trezor.io. Le faux est donc particulièrement crédible : l'expéditeur vient du domaine officiel.

L' objet du message : « Critical Security Alert: STM32 Entropy Vulnerability ». Le mail prétend qu'un défaut d'usine toucherait les puces STM32 (des microcontrôleurs, sortes de mini-ordinateurs embarqués dans les portefeuilles froids) et rendrait les phrases de récupération cassables par force brute. Objectif réel : te faire cliquer sur un faux outil de vérification pour voler ta phrase, cette liste de mots qui donne accès à tous tes fonds.

Un mail crédible jusqu'au domaine officiel

Le mail est bien monté. Il affirme qu'un appareil sur quatre aurait été initialisé avec une sécurité aléatoire trop faible (40 bits d'entropie au lieu des 128 attendus, en clair : des phrases de récupération beaucoup plus faciles à deviner), puis invite à cliquer sur « Check to see if you're affected ». Contrairement aux hameçonnages classiques qui imitent une adresse presque identique, celui-ci s'appuie sur le vrai domaine, la vraie adresse d'assistance et la signature officielle de Trezor.

Ironie du message : il recommande lui-même, en gras, de ne jamais saisir ta phrase de récupération sur un site. Le seul conseil honnête du mail sert justement à te rassurer avant de te faire tomber.

La règle qui te protège même d'un mail officiel

Trezor a coupé le domaine utilisé par les attaquants et enquête sur la façon dont ils ont pu accéder à son domaine légitime. Sa consigne est claire : ne clique sur aucun lien de ce mail, et n'installe rien, même si le message s'inquiète de la sécurité de ton appareil.

La règle à retenir dépasse ce seul cas : ta phrase de récupération ne se saisit jamais sur un site web, ne se partage jamais par mail ni au téléphone. Un service officiel, Trezor ou n'importe quel autre, ne te la demandera pas. En cas de doute, passe par l'application officielle et le site que tu tapes toi-même, pas par le lien reçu. Même vigilance pour ta messagerie en général, comme le rappellent les douze failles corrigées de Roundcube il y a quelques jours.

Trois fuites en trois ans chez Trezor

Cette vague s'ajoute à un historique chargé. En août 2026, le piratage de ShipMonk, le logisticien de l'entreprise, avait exposé les commandes de près de 81 000 clients au total (noms, adresses, e-mails, téléphones), avec un point d'entrée dans Metabase, un outil d'analyse de données, via une faille zero-day, c'est-à-dire inconnue de son éditeur au moment de l'attaque. Le groupe d'extorsion ShinyHunters a ensuite envoyé des demandes de rançon au logisticien.

En janvier 2024, un portail de support compromis avait déjà touché 66 000 utilisateurs. Et le même jour que Trezor, BitBox, un fabricant suisse concurrent, signalait un faux mail similaire circulant sous sa marque. La leçon : ces campagnes visent tout l'écosystème des portefeuilles matériels, pas une seule entreprise.

Ton portefeuille matériel protège très bien tes clés, tant que ta phrase de récupération reste où elle doit être : sur papier, à l'abri, et nulle part ailleurs. Un mail, même parti du vrai domaine de Trezor, ne change rien à cette règle. Celui qui te demande de la saisir quelque part n'est pas du côté de ta sécurité.

Sources

Trezor, l'avertissement officiel de l'entreprise sur X.

BleepingComputer, l'analyse de l'attaque et l'historique des fuites chez Trezor.

The Block, la réaction de BitBox au même type de campagne.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.