Trezor réduit ses revendeurs agréés : les autorisations prennent fin le 1er janvier 2027

Qui veut s’offrir un portefeuille matériel Trezor avant Noël l’achète dans des conditions différentes de celles de la semaine dernière. Le fabricant tchèque a annoncé le 13 octobre 2026 qu’il réduisait fortement son réseau de revendeurs agréés. Les partenaires concernés ne reçoivent plus de marchandise à compter de la date du courrier et ne peuvent écouler leurs stocks restants que jusqu’au 1er janvier 2027. Ils ne seront plus des revendeurs agréés après cette date. L’origine de la décision ne se trouve pas chez Trezor, mais chez son concurrent Ledger : des appareils y sont arrivés dans le commerce par l’intermédiaire d’un revendeur avec un composant radio étranger intégré.

Pour l’acheteur, la question principale se déplace. Ce qui compte n’est plus de savoir quel modèle prend en charge le plus d’actifs, mais par quel circuit l’appareil est arrivé dans vos mains. Cet article précise ce que Trezor a annoncé exactement, ce qui s’est passé chez Ledger, quels délais s’appliquent et ce qui caractérise un circuit d’achat agréé.

Ce que Trezor a annoncé le 13 octobre

Trezor a publié sa décision sur son compte de la plateforme X ; le directeur commercial Danny Sanders avait partagé peu avant le courrier adressé aux partenaires. D’après le compte rendu du service spécialisé The Crypto Times, la phrase décisive adressée aux revendeurs écartés est, dans sa version originale : « your authorization ends on 1 January 2027 », soit : votre autorisation prend fin le 1er janvier 2027.

Le courrier comporte trois points. Premièrement, Trezor ne livre plus de marchandise neuve aux partenaires concernés. Deuxièmement, ces partenaires peuvent continuer à vendre les stocks existants jusqu’à l’expiration de l’autorisation au tournant de l’année. Troisièmement, les partenaires restants travailleront sous un cadre contractuel révisé, dans lequel Trezor vérifie plus précisément la provenance des appareils, leur stockage et leur manipulation.

Un point compte pour la mise en perspective : Trezor précise expressément qu’aucun indice ne laisse penser que ses propres appareils aient été manipulés. Le communiqué indique qu’il n’existe « not a single piece of evidence that Trezor devices have been compromised », soit pas une seule preuve que des appareils Trezor aient été compromis. La réduction est une précaution, pas la réponse à un sinistre propre. L’entreprise a annoncé dans le même temps qu’elle réexaminerait sa décision si la situation évoluait.

Attaque de la chaîne logistique : comment l’implant a fonctionné chez Ledger

Le déclencheur est un incident survenu chez le fabricant français Ledger. Selon la présentation de l’entreprise, rapportée le 13 octobre par le service spécialisé CoinDesk, un composant radio supplémentaire était intégré dans des appareils vendus par le revendeur sud-est asiatique CryptoBilis. Ce composant lisait les 24 mots de la phrase de récupération sur l’écran de l’appareil et les transmettait vers l’extérieur par un réseau mobile, techniquement au moyen d’une eSIM soudée.

Ledger décrit le cas comme une intervention physique dans la chaîne logistique, non comme une faille de son propre logiciel ou de ses systèmes internes. C’est le cœur de l’affaire et la raison pour laquelle une liste de revendeurs devient soudain une question de sécurité : le chiffrement dans l’appareil reste intact, l’attaque se place un cran plus tôt, sur l’appareil lui-même, avant qu’il n’arrive chez le client.

La phrase de récupération désigne la suite de douze ou vingt-quatre mots à partir de laquelle toutes les clés privées d’un portefeuille se recalculent. Qui la connaît dispose d’un accès complet aux avoirs, sans posséder l’appareil. C’est pourquoi un portefeuille matériel n’affiche ces mots qu’une seule fois, et uniquement sur son propre écran : un écran lu par un tiers annule toute la protection. Nous avons détaillé le fonctionnement normal de cette protection dans notre explication du portefeuille matériel.

Sur le montant des pertes, il n’existe pour l’instant que des estimations, et elles divergent. Le département de recherche de Galaxy Digital a chiffré les pertes à plus de 90 millions de dollars sur plusieurs centaines d’adresses. CoinDesk a cité des estimations en chaîne allant jusqu’à 93,2 millions de dollars sur plus de 300 portefeuilles ; selon le même compte rendu, l’émetteur de stablecoins Tether en a gelé 10 millions d’USDT. Ledger n’a confirmé ni le nombre de victimes ni le montant total. La fourchette d’environ 90 à 93 millions de dollars est donc l’état des estimations, pas un bilan vérifié. Nous avons consigné les détails de l’affaire et les premières réactions dans notre article sur l’incident chez Ledger.

Trezor a retiré CryptoBilis de sa propre liste de revendeurs le 12 octobre, un jour avant la grande annonce et, selon ses propres termes, par précaution. Le revendeur était donc également référencé chez Trezor, sans qu’aucun sinistre y ait été constaté.

La date butoir du 1er janvier 2027 et ce qui vaut jusque-là

Du point de vue de l’acheteur, le délai est le passage le plus gênant de l’annonce. Les revendeurs écartés ne perdent pas leur autorisation immédiatement, mais seulement au 1er janvier 2027. Ils peuvent écouler leurs stocks jusque-là. Autrement dit : toute la période de Noël et le Black Friday relèvent encore de l’ancien régime. Trezor nomme lui-même cette période dans son courrier ; ce n’est donc pas un hasard, mais une transition consentie aux partenaires.

Il en découle une conséquence inconfortable. Dans les semaines à venir, des appareils resteront en rayon et dans les boutiques en ligne alors que leurs vendeurs sont encore formellement agréés mais ne le seront plus en janvier. Le statut d’un revendeur en décembre ne dit donc rien de la manière dont Trezor le classera en janvier. Si le circuit le plus court compte pour vous, examinez ce statut maintenant, et non quand le colis sera arrivé.

Revendeur agréé, place de marché, revendeur : les différences

Trois notions sont souvent mélangées dans le commerce, et leur différence détermine le risque.

Un revendeur agréé est une entreprise liée au fabricant par un contrat et qui se fournit directement auprès de lui. Une place de marché est une plateforme sur laquelle de nombreux vendeurs différents proposent leurs produits ; son exploitant n’est pas nécessairement le vendeur. Un revendeur, enfin, achète de la marchandise et la revend, avec ou sans contrat avec le fabricant.

La faiblesse révélée par l’affaire Ledger se situe précisément dans cet entre-deux. Un appareil qui passe par plusieurs mains a été déballé, remballé ou stocké à un moment donné. Plus ce trajet est long, plus les occasions de modifier le matériel se multiplient. Sur ses pages d’aide, Trezor décrit son exigence envers les partenaires comme une marchandise qui vient directement du fabricant et reste stockée séparément des autres produits : « Stock is supplied by us directly and kept separate so that devices are not mixed with other goods. »

Vous pouvez consulter les modèles existants et leurs différences d’usage dans notre comparatif des portefeuilles matériels ; la question du circuit d’achat se pose de la même manière pour chacun de ces appareils.

Les circuits d’achat que Trezor qualifie lui-même de sûrs

Sur sa page d’aide consacrée à l’achat d’un appareil authentique, Trezor présente sa propre boutique comme la meilleure source. L’entreprise mentionne à côté les revendeurs agréés comme source légitime et renvoie à sa propre page sur Amazon. Les appareils issus de ces circuits sont jugés sans problème par principe, et Trezor renvoie pour l’examen au cas par cas à son propre guide sur la question de savoir si un appareil peut être utilisé.

Depuis le 13 octobre, cet ordre est plus qu’une recommandation. Quand un fabricant réduit son réseau de partenaires parce que le contrôle des circuits de stockage tiers ne lui suffit pas, l’achat direct n’est pas seulement commode : c’est la variante qui comporte le moins d’étapes. Ledger est allé un cran plus loin dans la même direction et vend son nouveau modèle haut de gamme exclusivement dans sa propre boutique.

Scellés, emballage et micrologiciel : les points à contrôler sur un appareil neuf

Un implant interne se repère difficilement de l’extérieur. Quatre points fournissent malgré tout des indices, et ils coûtent ensemble moins de dix minutes.

1. Emballage. Regardez les scellés de sécurité, le film et les traces de colle avant de sortir l’appareil de sa boîte. Un scellé déjà décollé est une raison de ne pas mettre l’appareil en service.
2. Poids et jeux d’assemblage. Un composant supplémentaire dans le boîtier modifie légèrement les deux. Qui dispose d’un second appareil du même modèle remarque la différence.
3. Première mise en service. Un appareil neuf produit lui-même la phrase de récupération. Si une phrase est déjà fournie, sur papier, sous forme de carte ou d’autocollant, l’appareil n’est plus neuf et n’a pas à être mis en service.
4. Contrôle par le fabricant. Les deux fournisseurs proposent une vérification d’authenticité par leur propre logiciel. Ce contrôle parle contre un micrologiciel échangé, pas contre tout composant supplémentaire.

Le quatrième point demande de la prudence : une vérification d’authenticité réussie prouve que le logiciel vient du fabricant. Un composant radio qui se contente de lire ne touche pas au logiciel. Aucun contrôle sur un appareil sous tension ne remplace donc un circuit d’achat propre.

Élément sécurisé et phrase de récupération : l’angle mort est l’affichage de la phrase

L’élément sécurisé est une puce durcie contre la lecture qui conserve les clés privées et calcule les signatures sans livrer les clés. Cette conception protège bien contre les attaques par le câble, par le logiciel et par une application de portefeuille infectée sur l’ordinateur.

Elle n’aide pas contre une attaque qui vise l’écran. La phrase de récupération doit être montrée une fois à son propriétaire lors de la configuration, sans quoi il ne pourrait pas la noter. Ce moment unique est le seul où le secret quitte l’appareil, et c’est précisément celui que le composant a intercepté dans l’affaire Ledger. La leçon est inconfortable : le durcissement de la puce n’est pas le point faible d’un portefeuille matériel, le trajet de la marchandise l’est.

Portefeuilles matériels d’occasion : le marché de seconde main reste invérifiable

Pour les appareils d’occasion, la situation est encore plus nette depuis le 13 octobre : un appareil de seconde main n’est pas vérifiable par son acheteur. Celui-ci ne sait ni qui l’a ouvert avant lui, ni si l’emballage correspond à la marchandise. Les deux fabricants déconseillent cette voie depuis des années, et l’affaire actuelle en fournit l’argument après coup.

Qui se demande si un portefeuille matériel est vraiment nécessaire trouvera l’alternative dans une solution purement logicielle, avec ses avantages et ses inconvénients propres. Un portefeuille logiciel n’a pas de risque de chaîne logistique, mais sa clé réside sur un appareil relié au réseau.

MiCA et protection du consommateur : ce que la supervision ne règle pas pour le matériel

Une question vient naturellement : le règlement européen MiCA s’applique-t-il ici ? La réponse est non. MiCA encadre les services autour des crypto-actifs, soit la négociation, la conservation pour le compte de tiers, l’échange et l’émission de jetons ; pour cela, un prestataire a besoin en Allemagne d’un agrément de la BaFin. Un portefeuille matériel que vous gérez vous-même n’est pas un tel service : personne ne conserve quoi que ce soit pour vous, l’appareil est un objet électronique.

L’achat relève donc du droit général des produits et de la vente. Celui-ci vous donne des droits de garantie contre le vendeur, mais il ne place aucune chaîne logistique sous supervision. Cette lacune explique pourquoi les fabricants doivent régler le problème eux-mêmes, par des conditions contractuelles et par la longueur de leurs listes de revendeurs, et pourquoi leurs annonces ont des conséquences pratiques immédiates pour les acheteurs. L’ampleur de la perte de confiance chez Ledger s’est déjà vue dans le commerce allemand.

Ce qui est établi dans l’affaire Ledger et ce qui reste ouvert

L’honnêteté exige de distinguer les deux. Est établi : Trezor réduit son réseau de revendeurs au 1er janvier 2027 et cite l’incident chez Ledger comme motif. Ledger rattache les pertes confirmées à des appareils vendus par un seul revendeur et décrit l’attaque comme une intervention physique dans la chaîne logistique. Trezor a retiré ce revendeur de sa propre liste le 12 octobre.

Reste ouvert, en revanche, le montant total, car les estimations d’environ 90 à 93 millions de dollars proviennent de tiers et ne sont pas confirmées par le fabricant. Reste ouvert aussi le nombre de revendeurs écartés par Trezor et les pays concernés : l’entreprise n’a communiqué aucun chiffre. Pour les acheteurs en Europe, cela signifie que la liste des revendeurs agréés demeure la seule information solide, et précisément celle du moment de l’achat.

À qui observe tout cela et se demande quelle prudence est de mise : l’attaque était coûteuse à monter, elle a touché des appareils issus d’un circuit particulier et, d’après tout ce qui est public, elle n’a concerné ni un modèle ni un fabricant dans son ensemble. La panique est ici un mauvais conseiller. Un circuit d’achat vérifié, lui, ne coûte rien et referme la brèche dont il est question.

Revendeurs Trezor : jusqu’au 1er janvier 2027, l’ancienne liste tient encore

Trois étapes découlent de l’annonce, et elles s’appuient l’une sur l’autre.

1. Fixer le circuit d’achat avant de choisir un modèle. Directement chez le fabricant ou chez un revendeur figurant sur la liste officielle au moment de l’achat. Les appareils qui entrent en ligne de compte figurent dans le comparatif des portefeuilles matériels.
2. Examiner si un portefeuille matériel est la bonne solution. Pour de petits avoirs, une solution logicielle bien sécurisée peut suffire ; la pesée figure dans le comparatif des portefeuilles logiciels.
3. Situer les appareils déjà en sa possession. Qui détient un appareil d’origine incertaine trouvera les étapes de contrôle et la réaction des fabricants dans notre article sur l’implant confirmé chez Ledger. Reconfigurer l’appareil produit nécessairement une nouvelle phrase de récupération.

(Au 17 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)