En finir avec le blind signing : ce qu’il faut vérifier sur votre portefeuille matériel après la mise à jour Trezor

Lorsque votre portefeuille matériel ne vous montre qu’une suite de caractères hexadécimaux avant la validation, vous signez à l’aveugle. C’est précisément ce qui change pour une partie des transactions : Trezor a activé le 7 septembre 2026 la fonction Clear Signing, qui traduit les données du contrat en phrases lisibles sur l’écran de l’appareil. cryptoticker.io a réalisé lui-même cette analyse le 9 septembre 2026, et elle montre jusqu’où va réellement la couverture : sur les vingt plus grandes applications Ethereum en capital déposé, exactement deux figurent sur la liste en clair au lancement.

Pour vous, cela signifie deux choses. Le geste le plus important est une mise à jour du micrologiciel, et il n’y a rien d’autre à régler. Le second geste concerne tout ce que le nouveau standard ne couvre pas encore, et c’est la plus grande part de votre quotidien dans la finance décentralisée.

Blind signing : ce que vous signez en validant une suite hexadécimale

Le blind signing désigne la validation d’une transaction dont l’appareil n’affiche pas le contenu en clair, mais seulement sous la forme d’un bloc de données ou d’une somme de contrôle. Le portefeuille sait alors qu’il signe quelque chose, mais il ne peut pas vous dire quoi.

Jusqu’ici, le déroulement était le suivant. Sur l’ordinateur s’affiche une phrase compréhensible, par exemple l’échange de 2 000 jetons en dollars contre de l’ether. Vers l’appareil ne part que le bloc dit calldata, c’est-à-dire la fonction encodée et ses paramètres. Sur le petit écran apparaît une suite de caractères. Vous validez en faisant confiance au fait que la phrase affichée sur le grand écran correspond à ce que l’appareil est en train de signer. Trezor décrit expressément ce déroulement, dans son propre billet de blog, comme une inversion du principe : le portefeuille devrait être l’instance finale, pas l’ordinateur.

Pourquoi l’écran du portefeuille doit être l’instance finale

Un portefeuille matériel protège votre clé privée et signe hors ligne. La troisième protection, la vérification sur un écran de confiance, disparaît dès lors que la suite de caractères est illisible. Si l’ordinateur est compromis ou si le site d’un prestataire a été manipulé, le navigateur continue de vous montrer la phrase anodine pendant que le bloc de données produit un autre effet. Les videurs de portefeuille et les interfaces substituées vivent de cette faille. Des médias spécialisés comme Cryptobriefing et Cryptopolitan rattachent le vol subi par la plateforme Bybit en février 2025, pour un préjudice d’environ 1,5 milliard de dollars, à la même catégorie d’attaque.

Cette faille n’est pas une théorie issue de la recherche en sécurité. Le 25 août 2026 encore, nous rendions compte d’une faille de signature dans l’application Ethereum de Ledger, où l’affichage sur l’appareil et le contenu réellement signé pouvaient diverger. Qui ne regardait alors que l’écran de son ordinateur n’aurait pas remarqué la différence.

Trezor Clear Signing : ce qui a été activé le 7 septembre

Dans son blog, Trezor présente Clear Signing comme la fonction de sécurité phare de l’année 2026. Au lieu d’une somme de contrôle, l’appareil affiche pour les contrats pris en charge l’opération elle-même, les jetons concernés, les montants et l’adresse de destination en langage ordinaire. La presse spécialisée a repris l’activation le 8 septembre ; Cryptobriefing rapporte que la Fondation Ethereum a confirmé la mise en œuvre et que Trezor a travaillé pour cela avec son concurrent Ledger.

Trois points de l’annonce comptent en pratique. Premièrement, il n’y a pas d’interrupteur : la fonction s’applique automatiquement via Trezor Suite, WalletConnect et Trezor Connect dès que le micrologiciel est à jour. Deuxièmement, elle ne couvre que les contrats pour lesquels un fichier de description correspondant existe. Troisièmement, pour tout le reste, l’appareil revient à l’ancien déroulement, avertissement compris.

La fonction concerne Ethereum et les réseaux compatibles, donc aussi les chaînes de couche 2 courantes. Pour les simples virements en bitcoins, rien ne change, car l’adresse du destinataire et le montant y figurent de toute façon en clair sur l’écran.

Quels modèles Trezor affichent en clair et lequel reste de côté

D’après les indications du blog du fabricant, les modèles Safe 7, Safe 5, Safe 3 et l’ancien Model T prennent en charge la fonction, à condition de tourner avec le micrologiciel standard doté de la prise en charge d’Ethereum. Le Model One reste de côté. Ce n’est pas un cas marginal, car l’appareil est commercialisé depuis 2014 et dort probablement dans bien des tiroirs.

Si vous utilisez un Model One et travaillez régulièrement avec des contrats, vous vivez désormais avec une limitation durable. Soit vous réservez l’appareil aux virements simples et aux avoirs que vous bougez rarement, soit vous prévoyez d’en changer. Les critères qui comptent alors, et les raisons pour lesquelles la réputation d’un fabricant ne suffit pas à fonder un achat, figurent dans notre comparatif des portefeuilles matériels.

Une incise pour situer les choses : même un fabricant à la bonne réputation en matière de sécurité présente des points faibles ailleurs. En septembre 2026, les clientes et clients de Trezor ont dû vérifier si leurs coordonnées étaient concernées par une fuite de données chez un prestataire d’expédition. L’affichage en clair ne résout pas ce problème.

ERC-7730 : le standard ouvert derrière l’affichage en clair

ERC-7730 est un standard ouvert qui donne aux portefeuilles une règle uniforme pour traduire des données de contrat complexes en indications lisibles. À chaque contrat pris en charge correspond un fichier de description, appelé descripteur, qui fixe quelle fonction produit quelle phrase. La spécification est consultable publiquement, et Trezor a publié en source ouverte sa propre mise en œuvre, micrologiciel et logique de décodage compris.

La phrase décisive pour votre quotidien figure dans la foire aux questions du fabricant : la couverture dépend du registre de ces fichiers de description. Pas d’entrée, pas d’affichage en clair. Au lancement, Trezor cite 1inch, Aave, Lido, Tether, LiFi et Hyperliquid, ainsi que d’autres contrats. Cryptobriefing rapporte que le nombre de fichiers de description publiés a progressé d’environ 28 % entre l’introduction en mai 2026 et la fin du mois de juillet.

Notre analyse : quelle part du capital DeFi l’affichage en clair atteint au lancement

Nous voulions savoir ce que ces six noms représentent en pratique, et nous avons donc compté nous-mêmes. La base est l’interface publique de DefiLlama, interrogée le 9 septembre 2026 vers 22h00 UTC avec le code 200. Nous avons évalué le capital déposé sur Ethereum par application, corrigé des plateformes d’échange centralisées, des chaînes elles-mêmes et des ponts officiels des réseaux, car personne n’y valide un contrat qu’un appareil devrait afficher.

Le résultat : les vingt plus grandes applications de cette liste corrigée totalisent 115,7 milliards de dollars. Deux d’entre elles figurent sur la liste de lancement du registre en clair, à savoir Lido avec 23,90 milliards et Aave dans sa troisième version avec 14,58 milliards. Cela représente 38,5 milliards de dollars, soit 33,3 % du capital de cette sélection.

Un tiers paraît peu et constitue malgré tout la partie la plus solide du marché : les deux plus grands réservoirs sont couverts. Qui prête ou met en staking de l’ether verra donc des indications lisibles sur l’appareil pour les deux voies les plus répandues.

Pourquoi Uniswap et Curve ne figurent pas sur la liste de lancement

Le revers du décompte est le plus instructif. Parmi les applications qui ne sont pas citées au lancement figurent précisément les lieux de négociation que de nombreux investisseurs utilisent chaque jour. Pour Uniswap, l’interface indique 0,90 milliard de dollars en version trois, 0,84 milliard en version deux et 0,69 milliard en version quatre ; Curve atteint 1,21 milliard. Aucun de ces contrats ne fait partie des six noms de la liste de lancement.

Au regard du capital déposé, ces adresses restent loin derrière les réservoirs de prêt et de staking. Au regard du nombre de validations, c’est l’inverse : un échange se compose régulièrement de deux signatures, une autorisation du jeton et l’échange proprement dit. C’est exactement dans cette accumulation que se produisent les erreurs coûteuses, et c’est exactement là que l’ancien déroulement reste en vigueur pour l’instant.

Cela relativise l’annonce sans lui ôter sa valeur. Le standard est ouvert, le registre grandit, et d’autres fabricants s’appuient sur la même base. D’ici là, la règle qui valait avant le 7 septembre vaut toujours pour vous : ce que vous ne lisez pas, vous ne le validez pas.

Comment vérifier en cinq minutes ce que votre appareil affiche vraiment

Le test ne coûte aucun frais et ne nécessite aucune transaction. Reliez votre appareil au logiciel de gestion du fabricant et regardez si un micrologiciel plus récent est proposé. Installez-le en gardant votre phrase de récupération à portée de main, et notez le numéro de version avant et après la mise à jour.

Ouvrez ensuite une application que vous utilisez de toute façon et lancez une validation que vous annulerez à la fin. Ce qui compte, c’est le moment où l’appareil demande votre confirmation. Si l’opération, le jeton, le montant et l’adresse de destination y apparaissent en toutes lettres, l’affichage en clair fonctionne. Si vous voyez une suite de caractères ou la mention d’un bloc de données inconnu, le contrat ne figure pas au registre.

Vérifiez dans la foulée l’adresse de destination caractère par caractère, au minimum les six premiers et les six derniers signes. La raison tient à une manœuvre répandue : des attaquants vous envoient de tout petits montants depuis une adresse qui ressemble à s’y méprendre à votre adresse de destinataire habituelle, en espérant que vous la copierez plus tard depuis l’historique. La manière de repérer ces tromperies figure dans notre article sur le hameçonnage autour des retraits crypto.

Ce que l’affichage en clair n’empêche expressément pas

Un affichage lisible répond à la question de savoir ce que vous signez. Le sérieux du contrat qui se trouve derrière, aucun écran ne vous le dira. Une autorisation illimitée accordée à un contrat frauduleux reste une autorisation illimitée, même lorsque l’appareil la décrit proprement. Le standard n’aide pas davantage contre une phrase de récupération perdue, contre un portefeuille logiciel mal sécurisé sur un ordinateur infecté, ou contre une pression extérieure.

Que faire lorsque l’avertissement de blind signing apparaît

L’avertissement ne signale pas une erreur. Il n’existe simplement aucune description pour ce contrat. Interrompez à cet endroit si vous ne connaissez pas la contrepartie. Pour une application à laquelle vous faites confiance, vérifiez au moins l’adresse du contrat dans la documentation officielle du prestataire, plutôt que de la reprendre d’un moteur de recherche ou d’un message.

Deux habitudes réduisent le risque indépendamment de l’appareil. Séparez les montants : un compte pour l’usage quotidien des contrats, un second pour les avoirs qui n’ont rien à y faire. Et limitez les autorisations au montant dont vous avez besoin sur le moment, au lieu de valider l’autorisation illimitée proposée par défaut. Les deux agissent immédiatement et ne vous coûtent que quelques clics supplémentaires.

Limites de cette analyse : ce que nos chiffres ne montrent pas

Notre mesure décrit du capital déposé, pas de l’usage. Le nombre de validations quotidiennes affectées à tel ou tel contrat n’en ressort pas, et c’est précisément ce chiffre qui serait le plus parlant pour la question de la couverture. L’enquête repose en outre sur une source de données unique, que nous n’avons pas confrontée à une seconde à la même minute.

Nous n’avons pas dénombré le registre des fichiers de description. Nous avons rapporté les partenaires de lancement cités par le fabricant au classement par capital. À côté des six noms, Trezor mentionne expressément d’autres contrats sans les énumérer ; la couverture réelle peut donc être supérieure à notre attribution de deux occurrences dans les vingt premières places. Enfin, nous n’examinons qu’Ethereum. Sur les chaînes de couche 2, auxquelles la fonction s’applique également, le classement se présente autrement.

Dans le temps, l’analyse est un instantané du 9 septembre 2026. Si le registre continue de croître au rythme des mois de mai à juillet, le tableau se déplace en faveur de l’affichage en clair, et la section ci-dessus vieillit vite. La recommandation, elle, n’en est pas affectée.

Vérifier le blind signing : ce qu’il faut en retenir

1. Mettre à jour le micrologiciel et clarifier le statut du modèle. Les Safe 7, Safe 5, Safe 3 et Model T reçoivent l’affichage en clair, le Model One non. Si votre appareil reste de côté et que vous validez régulièrement des contrats, examinez les critères de notre comparatif des portefeuilles matériels avant d’en acheter un nouveau.
2. Lancer une validation à titre d’essai, puis l’annuler. Vous verrez ainsi, sur vos propres avoirs, lesquelles des applications que vous utilisez apparaissent en clair. Pour tout le reste, l’ancienne règle demeure : vérifier d’abord l’adresse du contrat, puis confirmer. Qui se déplace sans appareil trouvera les différences de sécurité dans notre comparatif des portefeuilles logiciels.
3. Séparer les avoirs et limiter les autorisations. Tenez le patrimoine de long terme à l’écart du compte avec lequel vous signez des contrats au quotidien, et fixez les autorisations au montant nécessaire plutôt qu’à l’illimité. Les appareils qui le permettent, et au prix de quelle manipulation, figurent eux aussi dans le comparatif des portefeuilles matériels.

L’annonce du 7 septembre marque un progrès réel pour les deux plus grands réservoirs de capital de l’univers Ethereum. Pour le reste de votre quotidien, la responsabilité demeure là où elle a toujours été. L’annonce complète figure dans le billet de blog du fabricant, et la spécification du standard dans la version officielle de l’ERC-7730.

(Au 9 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)