Trezor et Tropic Square ont révélé conjointement une vulnérabilité matérielle affectant le composant TROPIC01 du portefeuille Trezor Safe 7, identifiée par l’équipe Ledger Donjon lors d’un audit indépendant. Malgré la faille, l’architecture à trois couches de sécurité indépendantes du portefeuille préserve l’intégrité des fonds des utilisateurs, ont affirmé les deux sociétés le 2 juin 2026.
🔑 En bref
- Découverte d’une faille d’injection de faute laser sur la puce TROPIC01 par Ledger Donjon.
- L’attaque exige un accès physique au portefeuille et un équipement de laboratoire spécialisé.
- Le Trezor Safe 7 repose sur trois composants indépendants : TROPIC01, OPTIGA Trust M et STM32U5.
- Aucune action requise pour les utilisateurs ; aucune exploitation en conditions réelles n’a été constatée.
- Tropic Square prépare un correctif matériel et logiciel pour la prochaine révision du composant.
Origine de la découverte : un audit indépendant
L’audit a été commandité par Tropic Square elle-même, la société semi-conducteur liée à Trezor qui développe le composant TROPIC01. Lancé début 2025 et intégré au portefeuille Trezor Safe 7 commercialisé en octobre 2025, ce composant a volontairement été remis à Ledger Donjon — l’équipe de recherche en sécurité du concurrent Ledger — pour des tests indépendants, illustrant une démarche de transparence proactive.
En janvier 2026, les chercheurs de Donjon ont informé Tropic Square qu’ils étaient parvenus à exécuter une attaque par injection de faute laser (une technique qui perturbe volontairement le fonctionnement d’une puce à l’aide d’impulsions lumineuses ciblées) sur le composant, dans un cadre de laboratoire contrôlé. Cette attaque a permis d’extraire certains secrets stockés dans la puce et de contourner les vérifications de signature du micrologiciel (le logiciel interne de l’appareil).
Après analyse, les ingénieurs de Tropic Square ont eux-mêmes identifié une seconde méthode d’exploitation, susceptible d’exposer un autre secret lié aux fonctions de protection du code PIN. Les deux entreprises ont ensuite notifié leurs partenaires, dont Trezor, et opté pour une divulgation publique conjointe le 2 juin 2026.
Conditions techniques de l’attaque
L’attaque cible deux moments précis du cycle de vie du composant : la vérification d’installation d’un nouveau micrologiciel et la re-vérification du micrologiciel au démarrage de l’appareil. Une fois cette barrière franchie, l’attaquant peut charger et exécuter un micrologiciel personnalisé. Toutefois, cette exploitation suppose un enchaînement complexe d’opérations :
- possession physique du portefeuille Trezor Safe 7 ;
- démontage complet de l’appareil ;
- dessoudage de certains composants ;
- décapsulation par l’arrière (retrait de l’enveloppe protectrice de la puce) ;
- recours à des équipements de laboratoire spécialisés ;
- expertise technique approfondie.
En outre, l’attaque doit être ré-exécutée à chaque mise sous tension, ce qui empêche la fabrication de dispositifs trafiqués avec un micrologiciel malveillant persistant. Aucune menace sur la chaîne d’approvisionnement n’a été identifiée, et la génération de nombres aléatoires lors de la configuration initiale du portefeuille — combinant les sources du STM32U5, de l’Optiga, du TROPIC01 et de l’ordinateur hôte — reste hors de portée de l’attaque.
Une architecture de sécurité multicouche
Le Trezor Safe 7 a été conçu selon une architecture dite « à trois barrières » indépendante, dans laquelle aucun composant ne fait confiance à l’autre. Le tableau ci-dessous synthétise le rôle de chaque élément :
| Composant | Fonction de sécurité | Origine |
|---|---|---|
| TROPIC01 | Authentification du micrologiciel et stockage d’une part du secret PIN | Tropic Square / Trezor |
| OPTIGA Trust M | Secure Element indépendant, effacement après 10 tentatives PIN erronées | Infineon |
| STM32U5 | Microcontrôleur principal et source d’entropie complémentaire | STMicroelectronics |
L’attaque réduit techniquement le nombre de barrières physiques de trois à deux, car elle permet d’extraire l’un des trois secrets protégeant le code PIN et le matériel d’attestation de l’appareil. Pour accéder à la sauvegarde du portefeuille, un attaquant devrait néanmoins encore compromettre les composants OPTIGA et STM32U5, puis lancer une attaque par force brute sur le code PIN de l’utilisateur.
Un porte-parole de Trezor a précisé à Cointelegraph qu’aucune recherche de Ledger Donjon n’a identifié de vulnérabilité dans l’OPTIGA, et que le STM32U5 intégré au Safe 7 est un microcontrôleur plus récent contre lequel aucune attaque par injection de faute n’a été démontrée à ce jour. L’entreprise souligne également que l’OPTIGA et le STM32U5 proviennent de fabricants différents et sont produits dans des pays distincts, diversifiant ainsi davantage la sécurité.
« Grâce aux multiples couches de sécurité indépendantes du Trezor Safe 7, une vulnérabilité du composant TROPIC01 ne met pas les fonds des utilisateurs en danger. Ce processus ouvert de découverte, d’examen et de divulgation est le modèle que l’industrie devrait s’imposer. »
Matej Žák, directeur général de Trezor
Position officielle et mesures correctives
Trezor a confirmé publiquement que les utilisateurs n’ont aucune action à entreprendre : la vulnérabilité étant matérielle, elle ne peut être corrigée par une mise à jour à distance du micrologiciel. Aucune preuve d’exploitation en conditions réelles n’a été relevée et le Trezor Safe 7 n’a jamais été piraté, selon l’entreprise. L’équipe Tropic Square travaille sur des améliorations matérielles et logicielles pour atténuer la faille dans la prochaine révision du composant.
Cet épisode n’est pas le premier du genre. En 2024, Ledger Donjon avait déjà publié une recherche sur le Trezor Safe 3 démontrant une attaque de type interception physique sur la chaîne d’approvisionnement — dessoudage et modification de l’appareil avant livraison à l’utilisateur. Trezor avait répondu publiquement et renforcé ses défenses, tout en déclarant n’avoir aucune connaissance de fonds compromis lors de tels incidents.
Conclusion : un modèle de transparence pour l’industrie
Cette divulgation illustre une coopération inhabituelle entre deux acteurs majeurs — et concurrents — du marché des portefeuilles matériels. Trezor a crédité l’équipe Ledger Donjon pour l’identification de cette faiblesse, arguant que la recherche indépendante et la divulgation ouverte renforcent l’ensemble de l’écosystème crypto. L’incident valide par ailleurs le positionnement de Tropic Square, qui commercialise le TROPIC01 comme le seul élément de sécurité au monde entièrement auditable par tous — sans accords de non-divulgation. La leçon est claire : la sécurité d’un portefeuille matériel dépend de la conception d’ensemble de l’appareil, et non d’un composant unique, aussi robuste soit-il.
Sources
- Cointelegraph
- Crypto.news
- TradingView / Cointelegraph
- SQ Magazine
- Trezor (divulgation officielle)
- CoinDesk
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
