Hameçonnage depuis la vraie adresse de l’expéditeur : comment vérifier une alerte de sécurité de votre wallet

Mercredi soir, les propriétaires d’un portefeuille matériel ont reçu un courriel intitulé « Critical Security Alert: STM32 Entropy Vulnerability ». Le message ressemblait à une alerte de sécurité du fabricant Trezor et empruntait son circuit d’envoi authentique. Le fabricant a précisé le soir même qu’il n’en était pas l’auteur. Le conseil placé en tête de presque tous les guides tombe donc : regarder l’adresse de l’expéditeur.

Ce texte explique à quoi reconnaître une fausse alerte de sécurité quand les contrôles techniques de votre messagerie passent tous au vert, et quelles quatre minutes vous épargnent l’erreur la plus coûteuse qu’un investisseur en cryptomonnaies puisse commettre.

Ce qui s’est passé le 9 septembre : un courriel d’alerte par le circuit authentique

Trezor a fait savoir le 9 septembre 2026, depuis son compte sur X : « Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link. » La publication a été mise en ligne, selon Decrypt, vers 16 h 30 sur la côte est des États-Unis, soit peu après 22 h 30 en Europe centrale. Les destinataires signalaient le message depuis plusieurs heures déjà.

La différence décisive avec les falsifications habituelles tient au chemin emprunté par le courriel. The Block rapporte que les messages sont partis du domaine officiel de l’entreprise ; c’est un prestataire externe, par lequel le fabricant envoie son courrier client, qui a été attaqué. Trezor n’a pas nommé ce prestataire. L’entreprise a fait désactiver la page liée et annoncé une enquête. Le portefeuille lui-même n’a, selon elle, jamais été concerné.

Pour vous, destinataire, cela signifie : le courriel se trouvait dans votre boîte de réception au milieu de messages authentiques du même expéditeur, même mise en page, même domaine. Aucune faute de frappe, aucune traduction approximative, aucune pièce jointe suspecte.

Entropie du STM32 : pourquoi la faille inventée sonnait si juste

La falsification affirmait que des développeurs avaient découvert une faille critique au niveau matériel dans les microcontrôleurs de la famille STM32. Selon le message, un appareil sur quatre environ serait touché, et le défaut affaiblirait le caractère aléatoire de la phrase de récupération. C’est ainsi que Decrypt décrit le contenu du message.

L’entropie désigne en cryptographie la mesure du hasard à partir duquel une clé est engendrée. Moins il entre de hasard dans cette génération, plus l’espace des clés possibles se réduit et plus il devient envisageable d’en deviner une. Une véritable faiblesse d’entropie constituerait, pour un portefeuille, le constat le plus grave qui soit, puisqu’elle frapperait chaque appareil d’une même série et non un seul compte.

C’est de là que vient l’efficacité de la manœuvre. L’attaquant n’invente ni arriéré de paiement ni compte bloqué. Il saisit l’unique inquiétude que tout propriétaire d’un portefeuille matériel porte déjà en lui. Les microcontrôleurs de cette gamme équipent d’innombrables appareils industriels, le terme se vérifie aisément, et l’histoire des cryptomonnaies a connu de vrais défauts d’aléa. L’affirmation est donc vérifiablement fausse, mais pas manifestement absurde. Qui conserve lui-même des bitcoins depuis des années lit une telle ligne avec le pouls qui s’accélère.

SPF, DKIM et DMARC : ce que ces trois contrôles prouvent et ce qu’ils ne prouvent pas

Les logiciels de messagerie modernes soumettent chaque message entrant à trois procédés. SPF (Sender Policy Framework) inscrit dans le domaine la liste des serveurs autorisés à émettre pour lui. DKIM (DomainKeys Identified Mail) joint à chaque message une signature cryptographique rattachée au domaine. DMARC combine les deux résultats et prescrit au destinataire la conduite à tenir en cas d’échec.

Le portail Cryptopolitan cite un destinataire dont l’exemplaire du courriel d’alerte a passé les trois contrôles. Ce n’est ni une contradiction ni une défaillance de la technique, mais la conséquence de ce que ces procédés garantissent réellement. Ce qui est établi, c’est qu’un message a transité par un serveur que le titulaire du domaine a autorisé à cet effet. Sur l’auteur du message, les trois contrôles ne disent rien.

Une entreprise qui envoie des lettres d’information et des courriels de service autorise en règle générale un prestataire d’envoi spécialisé. Qu’un attaquant obtienne l’accès à l’interface de ce prestataire, et il émet depuis le canal autorisé. Le SPF correspond, le DKIM signe, le DMARC passe au vert. La coche verte de votre logiciel de messagerie confirme dans ce cas exactement ce qu’elle doit confirmer, et pourtant pas un mot du message n’est exact.

Retenez la frontière ainsi : ces contrôles sécurisent le canal, non le contenu. Qui en tire une confiance dans une invitation à agir confond les deux.

Pourquoi une fuite chez le prestataire n’ouvre pas pour autant votre portefeuille

Un portefeuille matériel est un appareil qui engendre la clé privée et la conserve dans une puce cloisonnée. Les transactions sont signées à l’intérieur de l’appareil ; la clé n’en sort pas, pas même au moment de la signature. Un attaquant qui s’introduit chez le prestataire d’envoi d’un fabricant récupère des listes de diffusion, des noms, des adresses électroniques et, selon les données détenues, des informations de commande ou de livraison. La clé, elle, lui échappe.

C’est la bonne nouvelle, et la raison pour laquelle les attaquants passent par le courriel. Ils ont besoin de vous comme instrument. Tout l’effort de cette campagne vise un seul instant : celui où vous saisissez votre phrase de récupération dans un formulaire. Si cela échoue, l’intrusion chez le prestataire n’a servi à rien.

Il en découle une règle très calme. Aucun fabricant ne vous demandera jamais de saisir, de téléverser, de photographier votre liste de mots ni de la reporter quelque part pour vérification. Aucune opération technique ne l’exige. Si vous choisissez justement un appareil ou souhaitez en acquérir un second pour la sauvegarde, notre comparatif des portefeuilles matériels constitue un meilleur point de départ que n’importe quel lien reçu par courriel.

Quatre fuites de données en trente jours : notre décompte sur nos propres archives

Ce relevé a été établi par cryptoticker.io le 10 septembre 2026. Méthode : interrogation de notre propre base d’articles via l’interface de programmation Strapi, portant sur tous les articles germanophones créés à partir du 1er janvier 2026 dont l’identifiant d’adresse contient l’un de huit termes (phishing, betrug, datenleck, scam, fake, identitaets, warnung, masche). Les 16 résultats de cette requête ont été examinés.

Dix d’entre eux datent des trente derniers jours. Dans quatre cas, il s’agissait du même phénomène : des données de clients ou de commandes d’un acteur du secteur crypto se sont échappées de chez un prestataire mandaté. Étaient concernés les fichiers d’adresses de deux fabricants de portefeuilles ainsi que d’un fournisseur de plans d’épargne en bitcoins ; l’un des cas concerne la fuite d’adresses chez un prestataire logistique, dont nous avons rendu compte ici. Trois autres de ces dix articles sont des mises en garde de l’autorité allemande BaFin visant des prestataires dépourvus d’agrément.

Le constat n’a rien de spectaculaire, et c’est justement pour cela qu’il compte : la matière première des courriels d’hameçonnage taillés sur mesure se constitue actuellement au rythme d’un cas par mois, et elle se constitue majoritairement chez les entreprises qui expédient, emballent et acheminent pour le compte des acteurs du secteur. Qui figure une fois sur une telle liste y reste.

Les limites de ce décompte en font partie. On ignore si les mêmes destinataires figurent dans plusieurs listes, combien de clients européens étaient concernés, et combien d’incidents nous n’avons pas traités. Ce qui est mesuré ici, c’est notre propre couverture, non le marché.

Cinq phrases qui ne figurent dans aucune vraie alerte de portefeuille

Lorsque l’adresse de l’expéditeur cesse d’être un indice, il reste le contenu. Ces formulations n’existent pas dans la communication authentique d’un fabricant :

• Une invitation à saisir, à confirmer, à valider la phrase de récupération ou à la transmettre « pour vérification ».
• Un délai de quelques heures, assorti de l’annonce que les avoirs seront ensuite en péril.
• Un lien qui conduit directement à un formulaire de saisie plutôt qu’à la page d’accueil ou au blog du fabricant.
• L’invitation à installer une mise à jour à partir d’un fichier joint au courriel plutôt que par l’application officielle du fabricant.
• Une formule d’appel comportant le nom complet et l’adresse de livraison, destinée à créer un sentiment de familiarité. Après une fuite de fichiers d’adresses, cela ne vaut plus comme preuve d’authenticité ; c’est plutôt un signal d’alerte.

Le dernier point inverse une habitude qui a bien fonctionné pendant des années. Autrefois, l’interpellation personnalisée passait pour un indice d’authenticité, parce que les envois de masse étaient impersonnels. Depuis que les fichiers d’adresses s’échappent régulièrement, elle ne vaut plus rien à cet égard. Jusqu’où cela va désormais, l’affaire des fausses lettres de sécurité déposées cet été dans les boîtes aux lettres par voie postale le montre.

Comment vérifier un courriel de sécurité en quatre minutes

Le déroulé est toujours le même, quel que soit le fabricant et quelle que soit l’apparence d’authenticité du message.

1. Ne cliquez sur aucun lien du message. Pas même « pour voir ».
2. Ignorez complètement l’adresse de l’expéditeur. Dans ce cas de figure, l’expéditeur ne vaut comme signal ni dans un sens ni dans l’autre.
3. Ouvrez le site du fabricant par un signet que vous avez posé vous-même, ou saisissez l’adresse à la main. Pas par le moteur de recherche : les annonces placées au-dessus des résultats constituent une voie d’attaque à part entière.
4. Regardez sur le blog ou la page d’état du fabricant si un communiqué évoque l’incident allégué. Une véritable faille de cette ampleur y est publiée, et non diffusée uniquement par courriel.
5. Vérifiez le canal officiel de l’entreprise sur les réseaux sociaux. Dans le cas décrit ici, le démenti se trouvait précisément là, quelques heures après l’envoi.
6. Signalez le message comme hameçonnage dans votre logiciel de messagerie, puis supprimez-le.

Quatre minutes, c’est une estimation généreuse. Ce qui compte de toute façon, c’est l’ordre : vous quittez le courriel avant de décider quoi que ce soit.

Si vous avez déjà cliqué : ce qui compte maintenant pour la phrase de récupération

Un clic seul ne divulgue rien. Une page consultée ne peut pas lire votre phrase de récupération, puisque celle-ci ne se trouve nulle part sur votre ordinateur si vous la conservez correctement. La phrase de récupération est la liste de douze ou vingt-quatre mots à partir de laquelle toutes les clés de votre portefeuille peuvent être reconstituées. Qui la détient détient les avoirs, sans jamais toucher l’appareil.

La seule question qui importe désormais : avez-vous saisi ces mots quelque part, les avez-vous téléversés, photographiés et envoyés ? Si non, l’incident est clos pour vous. Changez tout de même le mot de passe de la boîte concernée si vous y employez la même combinaison qu’ailleurs.

Si oui, la vitesse compte. Configurez sur un appareil sain un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y les avoirs, en commençant par le poste le plus important. L’ancien portefeuille est réputé ouvert dès l’instant de la saisie, durablement et irrévocablement ; un mot de passe ou un code PIN n’y change rien. Passez ensuite en revue chaque application à laquelle l’ancienne adresse a accordé des autorisations, et retirez-les.

Consignez l’opération par écrit, avec date, heure et montant. Pour un dépôt de plainte comme pour le traitement fiscal d’une perte, cette trace vous servira plus tard.

Compte sur une plateforme plutôt que portefeuille : pourquoi la même manœuvre y prend un autre visage

Qui détient ses avoirs sur une plateforme d’échange reçoit des courriels d’un autre genre : prétendus retraits, blocages de compte ou justificatifs à fournir au titre du règlement européen MiCA sur les marchés de crypto-actifs. Le schéma est le même, le levier diffère : la cible, ce sont les identifiants et le second facteur. La manière de reconnaître cette variante, nous l’avons décrite à propos de la fausse demande de retrait.

Trois réglages abaissent nettement le risque de ce côté, et tous les trois se mettent en place en quelques minutes. Premièrement, une liste blanche de retrait : les retraits ne partent alors plus que vers des adresses que vous avez enregistrées au préalable, les nouvelles adresses ne devenant actives qu’après un délai de blocage. Deuxièmement, un second facteur passant par une application d’authentification ou une clé de sécurité plutôt que par SMS, car un numéro de téléphone peut être détourné par échange de carte SIM. Troisièmement, une adresse électronique distincte, que vous réservez exclusivement à vos comptes sur les plateformes et qui ne figure dans aucune lettre d’information.

Ce qui reste ouvert fait aussi partie du tableau. Le chercheur en sécurité Jameson Lopp et Nick Neuman, dirigeant du conservateur Casa, jugent possible que l’attaque via le prestataire d’envoi n’ait pas touché qu’un fabricant ; Neuman fait état de messages similaires envoyés aux clients d’un second fournisseur de portefeuilles. C’est l’appréciation de deux spécialistes identifiés, non un fait confirmé, et les entreprises concernées ne se sont pas encore exprimées définitivement. Pour votre conduite, cela ne change de toute façon rien : la procédure de vérification ci-dessus vaut pour tout courriel, quel qu’en soit l’expéditeur.

Reconnaître une fausse alerte de sécurité : ce qu’il faut retenir

1. Posez dès aujourd’hui un signet vers le site du fabricant de votre portefeuille et n’utilisez plus que celui-ci à l’avenir. Si vous constatez à cette occasion que vous souhaitez remplacer votre appareil ou en ajouter un second, comparez les modèles dans le comparatif des portefeuilles matériels plutôt que par un lien reçu dans votre boîte de réception.
2. Activez sur chaque compte de plateforme la liste blanche de retrait et un second facteur reposant sur une application. Quelles places de marché proposent ces réglages et relèvent d’une supervision européenne, le panorama des plateformes crypto réglementées le montre.
3. Définissez où se trouve votre phrase de récupération et ne changez plus cet emplacement. La liste de mots a sa place sur du papier ou du métal, jamais dans un fichier, jamais dans un formulaire. Qui conserve des montants sur son ordinateur devrait en outre vérifier quelle application s’y prête, par exemple dans le comparatif des portefeuilles logiciels.

Les attaquants ont démontré cette semaine qu’ils savent utiliser la véritable boîte aux lettres d’un fabricant. Ce qu’ils ne savent pas faire : vous prendre les mots dans le coffre. Cette part-là, c’est vous qui la décidez.

Sources : communiqué de Trezor sur X du 9 septembre 2026 ; Decrypt du 9 septembre 2026.

(Au 10 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)