Arnaques Trezor et faux appareils Trezor : comment les repérer

Vous avez reçu un e-mail qui prétend venir de Trezor, ou un appareil qui ne vous inspire pas confiance, et un escroc se cache probablement derrière. Les personnes qui possèdent un Trezor sont visées par des e-mails convaincants, de faux sites web et des appareils contrefaits, et presque toutes ces arnaques ont le même objectif : vous amener à révéler votre phrase de récupération, car quiconque détient votre phrase contrôle vos fonds.

Ce guide passe en revue les arnaques Trezor les plus courantes, dont les faux e-mails de fuite de données, le phishing fondé sur un prétendu « authentication check » et le matériel contrefait, pour que vous sachiez repérer les signaux d’alarme et garder vos cryptos en sécurité.

Pourquoi posséder un Trezor fait de vous une cible

Un portefeuille matériel conserve vos clés privées hors ligne, ce qui limite leur exposition aux logiciels malveillants présents sur votre ordinateur. Cela ne rend pas tous les appareils invulnérables aux attaques physiques : le risque dépend du modèle, du firmware et des paramètres de sécurité, comme nous l’expliquons dans notre article sur le piratage des Trezor.

Le phishing exploite votre confiance. Si des escrocs parviennent à vous faire saisir sur un site web votre phrase de récupération de 12, 20 ou 24 mots, que Trezor appelle désormais « sauvegarde de portefeuille », ou à vous faire acheter un appareil qu’ils ont déjà trafiqué, ils n’ont rien à pirater : vous leur remettez les clés vous-même. Dès lors que vous savez que la phrase de récupération est toujours la véritable cible, presque toutes les arnaques Trezor deviennent faciles à repérer.

E-mails frauduleux au nom de Trezor : fausses fuites de données et messages « authentication check »

L’arnaque Trezor la plus courante arrive dans votre boîte de réception. Ces e-mails sont conçus pour susciter la panique et l’urgence afin que vous agissiez avant de réfléchir.

Un exemple largement relayé est le faux e-mail de fuite de données. Des victimes ont reçu un message prétendant que Trezor avait subi un incident de sécurité touchant un nombre précis de clients, et les pressant de télécharger la « dernière version de Trezor Suite » et de définir un nouveau code PIN. Le lien de téléchargement menait à un site usurpé qui ressemblait à s’y méprendre au vrai, parfois avec des astuces Punycode pour que l’adresse semble être suite.trezor.com alors qu’il s’agissait en réalité d’un autre domaine, déguisé. Quiconque connectait son portefeuille et saisissait sa phrase de récupération la remettait directement aux attaquants. Dans certains cas, les escrocs ont même détourné le propre formulaire de contact de Trezor pour rendre leurs messages plus crédibles.

Le scénario « authentication check » ou « wallet verification », présenté comme une vérification d’authentification ou du portefeuille, en est très proche. Ici, l’e-mail ou la fenêtre contextuelle prétend que votre portefeuille doit effectuer de toute urgence un contrôle de sécurité, une authentification ou une validation, faute de quoi il sera bloqué ou vous perdrez l’accès. Le « contrôle » se termine toujours de la même façon : on vous demande de saisir ou de confirmer votre phrase de récupération. Aucun véritable processus d’authentification n’a jamais besoin de votre phrase de récupération.

Il existe même une version hors ligne. Des escrocs ont envoyé par la poste à la clientèle de Trezor des lettres d’apparence officielle, invitant à scanner un code QR et à « revalider » le portefeuille en saisissant sa phrase de récupération. Le canal change, la ruse reste la même.

Comment repérer un e-mail frauduleux au nom de Trezor :

• Le seul site officiel de Trezor est trezor.io. Ce n’est pas trezor.com, ni aucun site au nom similaire avec des caractères ou des tirets supplémentaires.
• Trezor ne vous enverra jamais d’e-mail, de message ou de courrier vous demandant votre phrase de récupération, votre PIN ou votre passphrase. Jamais. Ses propres conseils contre les arnaques recommandent de considérer comme du phishing tout message se présentant comme venant de Trezor par SMS, WhatsApp, Telegram, appel téléphonique ou courrier postal.
• Les véritables informations sur les fuites de données ou la sécurité sont publiées sur trezor.io : tapez donc l’adresse vous-même au lieu de cliquer sur un lien dans un e-mail.
• C’est l’urgence qui trahit l’arnaque. « Act now or lose access » (agir tout de suite ou perdre l’accès) relève de la pression, pas d’une procédure.

Faux appareils Trezor : matériel contrefait et trafiqué

Certaines arnaques Trezor visent le matériel lui-même, avant même qu’il ne vous parvienne. En 2023, des spécialistes de la sécurité de Kaspersky ont analysé un Trezor Model T contrefait qui semblait authentique de l’extérieur, scellés holographiques compris, mais dont l’intérieur avait été refait pour voler des fonds.

Au lieu de la soudure par ultrasons utilisée sur les vrais appareils, le faux était assemblé avec de la colle et du ruban adhésif. Son microcontrôleur avait été remplacé par un autre dont la protection en lecture était désactivée. Le plus accablant : le firmware ne générait pas une phrase de récupération nouvelle et aléatoire. Il utilisait en secret l’une des quelques phrases générées à l’avance que les attaquants connaissaient déjà. Les fonds de la victime pouvaient alors être siphonnés même si l’appareil n’avait jamais été utilisé en ligne, car les criminels détenaient les clés dès le premier instant.

Signaux d’alarme d’un Trezor contrefait ou trafiqué :

• L’appareil arrive avec une phrase de récupération déjà inscrite, ou une carte vous demandant d’utiliser une phrase ou un code PIN précis. Un vrai Trezor génère toujours une toute nouvelle phrase, qui ne s’affiche que pour vous, lors de la configuration que vous effectuez vous-même.
• Un emballage qui semble avoir été rouvert puis refermé, collé ou endommagé, ou des scellés holographiques douteux.
• Des instructions de configuration qui contournent le processus officiel trezor.io/start, ou qui vous poussent vers une autre application ou un autre site.
• Des avertissements sur l’authenticité du firmware pendant la configuration, que vous ne devez jamais ignorer.

Comment acheter un Trezor en toute sécurité :

• Achetez uniquement dans la boutique officielle de Trezor ou chez un revendeur agréé figurant sur trezor.io. Évitez les places de marché, les sites d’enchères et les « bonnes affaires » de tiers.
• Configurez l’appareil vous-même, à partir de zéro, en suivant trezor.io/start.
• Assurez-vous que l’appareil génère votre phrase sous vos yeux et que vous la notez vous-même.

Autres arnaques Trezor à connaître

Au-delà des e-mails et des faux appareils, quelques autres schémas reviennent sans cesse :

• Faux support. Des escrocs se font passer pour le « support Trezor » sur les réseaux sociaux, dans des fenêtres de chat ou par téléphone, puis demandent votre phrase pour « réparer » un problème. Le vrai support n’en a jamais besoin. Trezor avertit que les escrocs utilisent désormais l’IA pour imiter le support par écrit, à l’oral et en vidéo : un message d’apparence professionnelle ne prouve donc rien. Si votre appareil est verrouillé parce que vous avez oublié votre PIN, la solution est votre propre phrase, pas l’aide du support pour l’utiliser.
• Fausses applications de portefeuille. Des applications malveillantes dans les magasins d’applications ou des extensions de navigateur imitent Trezor Suite et capturent tout ce que vous saisissez. N’utilisez que les logiciels vers lesquels renvoie trezor.io, et téléchargez Trezor Suite depuis trezor.io/trezor-suite.
• Giveaways et airdrops. « Send 0.1 BTC to receive 0.2 back » (la promesse de recevoir le double de ce que vous envoyez), ou un airdrop de jetons qui vous demande de connecter votre portefeuille et de révéler votre phrase. Dans les deux cas, c’est du vol.
• Faux services de récupération. Certains escrocs se font passer pour des sociétés de récupération de cryptos et demandent votre phrase ou un paiement important à l’avance. Un service légitime ne vous demande jamais d’envoyer votre phrase par formulaire, chat ou e-mail, et ne promet jamais de résultats ; notre guide pour trouver une société de récupération légitime détaille les points à vérifier.

Les règles d’or pour éviter les arnaques Trezor

Presque toutes les arnaques Trezor échouent face à une courte liste de contrôle :

• Gardez votre phrase de récupération secrète. Pour restaurer un portefeuille, suivez la procédure officielle de votre modèle et vérifiez les instructions sur l’appareil lui-même. Ne communiquez jamais la phrase au support et ne la saisissez jamais sur un site de vérification.
• Ne faites confiance qu’à trezor.io. Tapez l’adresse vous-même et n’achetez le matériel que par les canaux officiels.
• Un véritable appareil neuf n’est jamais livré avec une phrase ou un PIN déjà définis.
• Trezor ne vous contacte jamais pour vous demander votre phrase, votre PIN ou votre passphrase.
• Prenez votre temps. Les arnaques misent sur l’urgence : s’entendre dire qu’il faut agir immédiatement est une raison de marquer une pause, pas de se précipiter.

Pour un tour d’horizon plus large des bonnes pratiques de récupération, notre guide de récupération du portefeuille Trezor reprend les mêmes règles de sécurité dans le contexte de la restauration d’un portefeuille.

Vous pensez avoir été victime d’une arnaque ? Que faire maintenant

Si vous venez de vous apercevoir que quelque chose ne va pas, agissez rapidement mais prudemment.

Si vous avez saisi votre phrase sur un site ou un appareil suspect et que vous y avez toujours accès, considérez le portefeuille comme compromis et déplacez vos fonds immédiatement. Configurez un nouveau portefeuille sur un appareil authentique avec une toute nouvelle phrase et transférez-y tout avant que l’attaquant ne le fasse. Si vous avez seulement cliqué sur un lien sans saisir votre phrase, le risque est bien moindre, mais vérifiez désormais tout via trezor.io.

Si un escroc a transféré vos fonds, aucun service de récupération, pas même le nôtre, ne peut annuler la transaction blockchain confirmée. En cas de vol, seules les autorités ou la plateforme d’échange destinataire peuvent agir, et même alors l’issue reste incertaine. Redoublez de méfiance envers quiconque promet d’annuler un vol ou de restituer des fonds volés moyennant des frais : c’est souvent une seconde arnaque, ciblant des personnes qui viennent d’en être victimes.

Portez plainte pour vol auprès de la police et signalez la tentative de phishing à Trezor par ses canaux d’assistance officiels, afin que l’entreprise puisse prévenir d’autres personnes. Conservez les preuves : identifiants de transaction, adresses de portefeuille, captures d’écran et messages frauduleux eux-mêmes.

Notre service de récupération répond à un autre problème : retrouver l’accès à votre propre portefeuille lorsqu’il vous manque un mot de votre phrase ou que vous avez oublié votre passphrase. Si c’est votre situation, vous pouvez obtenir une évaluation honnête via notre service de récupération Trezor, et nous vous dirons d’emblée ce qui est possible et ce qui ne l’est pas. Nous ne détenons vos cryptos à aucun moment : si l’accès est rétabli, vous transférez vous-même les fonds vers un nouveau portefeuille que vous avez créé, et vous réglez vous-même nos frais convenus, séparément.

Les tactiques des arnaqueurs changent constamment : en cas de doute, arrêtez-vous et vérifiez directement sur trezor.io avant de faire quoi que ce soit avec votre portefeuille.

FAQ sur les arnaques Trezor

Trezor envoie-t-il des e-mails sur une fuite de données me demandant de faire une mise à jour ?

La plus grande prudence s’impose. Des escrocs ont envoyé de faux e-mails de fuite de données incitant à « mettre à jour » le logiciel ou à définir un nouveau code PIN sur un site usurpé. Trezor publie les véritables informations de sécurité sur trezor.io et ne demande jamais votre phrase de récupération. Si vous recevez un tel e-mail, ne cliquez sur rien et vérifiez directement sur trezor.io.

L’e-mail « Trezor authentication check » est-il authentique ?

Non. Tout e-mail, toute fenêtre contextuelle ou toute lettre vous demandant d’effectuer un « authentication check », une vérification ou une validation en saisissant votre phrase de récupération relève du phishing.

Comment savoir si mon Trezor est authentique ?

Achetez uniquement sur trezor.io ou chez un revendeur agréé, vérifiez que l’emballage et les scellés sont intacts, et configurez l’appareil vous-même via trezor.io/start. Un véritable appareil génère une nouvelle phrase de récupération sous vos yeux. S’il arrive avec une phrase ou un code PIN déjà définis, c’est un faux : ne l’utilisez pas.

Trezor m’a demandé ma phrase de récupération. Est-ce normal ?

Une demande non sollicitée par e-mail, par message ou par un prétendu « support » est une arnaque. C’est différent pour une restauration que vous lancez vous-même : sur le Model One, la « Récupération standard » d’une sauvegarde de 24 mots passe par l’application officielle Trezor Suite. Vous confirmez sur l’appareil, puis saisissez les mots dans Suite, dans l’ordre indiqué par l’appareil. La « Récupération avancée » évite de taper les mots sur l’ordinateur. Suivez les instructions officielles de Trezor pour la récupération sur le Model One ; ne saisissez jamais votre phrase via un lien reçu dans un message.

Puis-je récupérer des cryptos volées lors d’une arnaque Trezor ?

Généralement non. Une transaction blockchain confirmée ne peut pas être annulée : dès qu’un escroc a déplacé vos fonds, ils échappent à votre contrôle. Seules les autorités ou la plateforme d’échange destinataire peuvent agir, et même alors l’issue reste incertaine. Quiconque promet de récupérer des cryptomonnaies volées contre des frais payés d’avance orchestre presque certainement une nouvelle arnaque. Les services de récupération comme le nôtre peuvent seulement vous aider à retrouver l’accès à votre propre portefeuille, pas annuler un vol. Portez plainte pour vol ou fraude auprès de la police et conservez les identifiants de transaction, les adresses de portefeuille, les captures d’écran et les documents associés.