Le 3 juin 2026, Trezor et Tropic Square ont annoncé publiquement la découverte d’une vulnérabilité dans la puce TROPIC01, utilisée dans le portefeuille matériel Trezor Safe 7. Cette communication a eu lieu en collaboration avec l’équipe de recherche Ledger Donjon, soulignant l’engagement des entreprises envers la transparence et la sécurité des utilisateurs.
Malgré cette découverte, les fonds des utilisateurs de Trezor Safe 7 restent en sécurité et aucune action n’est requise de la part des détenteurs de l’appareil. La vulnérabilité concerne exclusivement l’un des trois niveaux de sécurité physiques présents dans l’appareil, confirmant l’efficacité de l’architecture en couches adoptée par Trezor.
Summary
Détails de la vulnérabilité : une attaque sophistiquée et peu praticable
Le contexte de la découverte
Après le lancement de la première puce TROPIC01 à la mi-2025, Tropic Square a fait appel à l’équipe de sécurité Ledger Donjon pour soumettre la puce à une évaluation indépendante. En janvier 2026, Ledger Donjon a informé Tropic Square qu’il avait mené avec succès une attaque de type Laser Fault Injection dans des conditions de laboratoire hautement spécifiques, parvenant à contourner la vérification de la signature du firmware.
Sur la base de cette découverte, l’équipe d’ingénieurs de Tropic Square a identifié une autre méthode complexe pour exploiter la vulnérabilité, qui permet l’extraction d’un autre secret lié aux fonctions de code PIN de la puce TROPIC01. Tous les partenaires, y compris Trezor, ont été informés et la vulnérabilité a été rendue publique de manière coordonnée.
Impact limité : la sécurité multicouche de Trezor Safe 7
La vulnérabilité concerne exclusivement la puce TROPIC01, l’un des trois niveaux de sécurité physiques et indépendants du Trezor Safe 7. Compromettre uniquement TROPIC01 ne permet pas d’accéder au code PIN, qui représente la dernière barrière protégeant les fonds des utilisateurs. De plus, les clés privées et la sauvegarde du portefeuille ne sont pas stockées sur la puce TROPIC01, mais sont réparties sur différents composants, éliminant ainsi tout point de défaillance unique.
L’attaque décrite nécessite la possession physique de l’appareil, des équipements de laboratoire spécialisés et des compétences de haut niveau. Il n’existe aucune preuve d’exploitation réelle de cette vulnérabilité, et Trezor Safe 7 n’a jamais été compromis.
Ce que cela signifie pour les utilisateurs de Trezor Safe 7
Aucune action requise : la sécurité reste intacte
Pour les utilisateurs, cette découverte n’entraîne aucun risque pratique et ne nécessite aucune intervention. La vulnérabilité est au niveau matériel et ne peut pas être corrigée par des mises à jour de firmware à distance. Cependant, grâce précisément à la conception en couches de l’appareil, une faille dans une seule puce ne compromet pas la sécurité globale.
Dans le monde réel, le phishing reste la principale menace pour ceux qui détiennent eux-mêmes leurs actifs. Une vulnérabilité qui nécessite un accès physique et des outils avancés ne représente pas un risque concret pour la majorité des utilisateurs.
Les propos de Matej Žák, CEO de Trezor
Matej Žák, CEO de Trezor, a souligné que le choix d’intégrer TROPIC01 — une puce open source et vérifiable — a été fait précisément pour garantir une transparence et une sécurité maximales. L’appareil a été conçu avec plusieurs niveaux de sécurité indépendants, garantissant qu’aucun composant ne puisse représenter un point critique de vulnérabilité.
Žák a mis en avant l’importance de la divulgation coordonnée et de la collaboration entre entreprises pour renforcer l’ensemble du secteur. « Le code PIN, la sauvegarde et les clés des fonds des utilisateurs ne sont jamais confiés à une seule puce. C’est le résultat d’une conception réfléchie et transparente », a-t-il déclaré.
Pourquoi Trezor fait le choix de la transparence
Un modèle de sécurité open source
Trezor a choisi de publier cette divulgation non pas parce que les fonds sont en danger, mais pour promouvoir un modèle de sécurité fondé sur la transparence. L’entreprise rejette l’idée que la sécurité découle de l’obscurité : les systèmes fermés et les puces protégées par des NDA cachent les risques derrière des conceptions opaques, obligeant les utilisateurs à faire aveuglément confiance à ce qu’ils ne peuvent pas vérifier.
La transparence permet aux utilisateurs d’être informés et conscients des conditions réelles de sécurité de leurs appareils. Trouver et publier des vulnérabilités peut être inconfortable pour une marque, mais c’est ce qui rend l’écosystème plus solide et plus fiable.
L’évolution de la sécurité : une responsabilité partagée
La sécurité évolue en même temps que la technologie. La seule façon de suivre le rythme est de partager ouvertement les découvertes avec la communauté. La divulgation d’aujourd’hui s’inscrit dans cette logique, offrant à chacun la possibilité de connaître et d’évaluer les risques, même s’ils sont purement théoriques.
Pour ceux qui souhaitent approfondir, l’avis technique complet est disponible sur le blog de Tropic Square.
Trezor : pionniers de la self-custody
Fondée en 2013, Trezor a inventé le concept de portefeuille matériel et est aujourd’hui le nom le plus fiable dans la self-custody, avec plus de 2 millions d’utilisateurs dans le monde. L’entreprise développe des outils de sécurité open source qui garantissent aux utilisateurs un contrôle total sur leurs actifs numériques. Le Trezor Safe 7 représente le produit phare de l’entreprise, conçu pour offrir le niveau maximal de protection et de transparence.
—
En résumé, la vulnérabilité de la puce TROPIC01, bien que techniquement significative, ne compromet pas la sécurité des fonds des utilisateurs de Trezor Safe 7. L’approche transparente et collaborative adoptée par Trezor et Tropic Square représente un modèle vertueux pour l’ensemble de l’industrie de la sécurité numérique.
