Trezor piraté ? Peut-on pirater un Trezor, et comment rester en sécurité

Vous craignez que votre portefeuille Trezor ait été piraté ? Commencez par ce qui est documenté. Les attaques connues qui ont permis d’extraire d’un Trezor sa phrase de récupération exigeaient toutes d’avoir l’appareil entre les mains, du matériel de laboratoire et du temps. Les pertes survenues sans cet accès physique ont une autre origine : une arnaque qui a permis d’obtenir la phrase de récupération, une transaction malveillante que vous avez vous-même approuvée, ou une information d’accès perdue. Parfois, rien n’a été perdu du tout, et les cryptos sont toujours sur la blockchain, dans un portefeuille que vous ne consultez pas.

La réponse honnête à la question « un Trezor peut-il être piraté ? » est donc plus nuancée qu’un simple non. Ce guide démêle le vrai du faux : peut-on pirater un portefeuille Trezor, quels sont les piratages Trezor réels et documentés, qu’est-ce qui met vraiment vos cryptos en danger, et que faire si vous pensez que votre portefeuille Trezor a été piraté.

Un portefeuille Trezor peut-il être piraté ? La réponse honnête

Il n’existe aucun cas documenté publiquement où quelqu’un aurait piraté un Trezor à distance, par Internet, pour en vider les fonds. Vos clés privées sont générées et stockées sur l’appareil et ne le quittent jamais : il n’y a donc pas de « porte » en ligne par laquelle un attaquant pourrait entrer de loin.

Être piraté à distance et être piraté par quelqu’un qui tient l’appareil en main sont toutefois deux questions différentes. Avec l’appareil physique en main, du matériel spécialisé et du temps, des équipes de recherche en sécurité ont extrait en laboratoire la phrase de récupération d’anciens modèles Trezor. C’est une menace très différente de celle d’un hacker à l’autre bout du monde.

La réponse exacte est donc : un Trezor est extrêmement sûr face aux attaques à distance, vulnérable aux attaques physiques sophistiquées sur les anciens modèles si quelqu’un vole l’appareil, et, comme tout portefeuille, seulement aussi sûr que la personne qui l’utilise.

Trezor a-t-il déjà été piraté ? Les cas documentés

Oui, Trezor a été « piraté », mais en laboratoire. Voici les cas les plus connus. Chacun exigeait l’appareil physique, et aucun n’était une attaque à distance.

L’attaque par variation de tension de Kraken Security Labs (2020)

En 2020, Kraken Security Labs a démontré qu’il était possible d’ouvrir un Trezor One ou un Trezor Model T et, grâce à une technique appelée variation de tension (voltage glitching), de rétrograder sa protection en lecture afin d’extraire de la puce la phrase de récupération chiffrée. Selon Kraken, il fallait environ 15 minutes d’accès physique. Une fois les données chiffrées extraites, un code PIN court pouvait ensuite être retrouvé par force brute.

C’est précisément parce qu’elle exige un accès physique qu’un attaquant à distance ne peut pas utiliser cette attaque. La parade recommandée par Kraken consistait à activer une passphrase BIP-39, car la passphrase n’est jamais stockée sur l’appareil et cette attaque ne permet pas de la récupérer. La faiblesse venait de la puce généraliste utilisée, pas du logiciel de Trezor.

Le piratage physique d’Unciphered (2023)

En 2023, la société de sécurité Unciphered a montré, dans une vidéo réalisée avec un appareil fourni par CoinDesk, qu’elle pouvait extraire la phrase de récupération et le code PIN d’un Trezor Model T qu’elle avait physiquement en sa possession. Elle a exploité une vulnérabilité impossible à corriger de la puce STM32, une faiblesse de type « rétrogradation RDP » comme celle qui avait été signalée des années plus tôt.

L’attaque ne fonctionne que si l’attaquant a l’appareil physiquement en sa possession, la faille ne peut pas être corrigée sur les appareils déjà livrés, car le défaut se trouve dans la puce elle-même, et Trezor a souligné qu’une passphrase forte rend l’attaque inutile.

La faille de la puce TROPIC01 (2026)

En juin 2026, Trezor et le fabricant de puces Tropic Square ont révélé que Donjon, l’équipe de recherche de Ledger, avait découvert une faille dans l’élément sécurisé TROPIC01 utilisé dans le Trezor Safe 7, au moyen d’une attaque par injection de fautes au laser. Il avait fallu démonter l’appareil, décapsuler la puce et recourir à un matériel de laboratoire coûteux. L’attaque a exposé des secrets que la puce utilise pour la vérification de l’authenticité de l’appareil et pour une partie de la protection du code PIN, mais pas le portefeuille : selon Trezor, les clés privées et la sauvegarde du portefeuille ne sont pas stockées sur la TROPIC01, et la faille ne permet pas à un attaquant d’accéder au code PIN, aux fonds ni à la sauvegarde du portefeuille. Le Safe 7 possède un second élément sécurisé : il ne suffit donc pas de compromettre une seule puce.

Ce que ces piratages de Trezor signifient, et ce qu’ils ne signifient pas

Si vous avez un ancien Trezor, que vous le gardiez en votre possession et que vous utilisiez une passphrase, ces gros titres sur un « Trezor piraté » ne représentent pas une menace réaliste pour vous : ils décrivent des équipes d’experts disposant de matériel de laboratoire et d’un appareil volé, pas quelqu’un qui piraterait votre portefeuille pendant qu’il repose dans votre tiroir. La nouvelle famille Safe de Trezor (Safe 3, Safe 5 et Safe 7) a ajouté un élément sécurisé certifié EAL6+ selon les Critères Communs, précisément pour résister à ce type d’attaque physique ; le Safe 7 y ajoute la TROPIC01, un second élément sécurisé. Trezor répertorie sur sa page consacrée à la sécurité les vulnérabilités qu’il a corrigées, ainsi que son programme de bug bounty.

Comment on perd vraiment ses cryptos : phishing et arnaques

Le phishing et les arnaques visent la personne plutôt que l’appareil : ils poussent les gens à divulguer leur phrase de récupération ou à approuver une transaction malveillante. Les attaquants ne viennent pas à bout du matériel ; ils trompent l’humain.

Ces campagnes détournent souvent la marque et les canaux de Trezor pour paraître légitimes. En 2022, des attaquants ont utilisé des adresses e-mail de clients, volées chez un prestataire tiers de newsletter, pour envoyer de faux e-mails Trezor convaincants. En 2025, des criminels ont abusé du formulaire de contact public du support Trezor afin que des réponses automatiques partent de la véritable adresse help@trezor.io, ce qui donnait à leurs messages de phishing un air d’authenticité. En septembre 2026, un attaquant qui s’était introduit chez Brevo, le prestataire d’e-mailing de Trezor, a envoyé à la liste de diffusion de la newsletter de Trezor un faux e-mail intitulé « Critical Security Alert: STM32 Entropy Vulnerability », avec un lien vers une application qui demandait la sauvegarde du portefeuille. Trezor indique qu’aucun produit, portefeuille ou système de compte Trezor n’a été touché, et que toute personne ayant saisi la sauvegarde de son portefeuille doit immédiatement transférer ses fonds vers un nouveau portefeuille.

Dans chacun de ces cas, ni les systèmes de Trezor eux-mêmes ni les appareils n’ont été compromis, et aucune phrase de récupération n’a été extraite par l’intermédiaire de Trezor. Le but était simplement d’attirer les victimes vers un faux site ou une fausse application qui leur demandait de saisir leur phrase de récupération. Notre guide sur les arnaques Trezor et les faux appareils présente d’autres ruses de ce genre.

Aucun service légitime, Trezor compris, ne vous demandera jamais de saisir votre phrase de récupération sur un site web. Si une page ou un e-mail vous la demande, c’est une arnaque.

Comment Trezor protège réellement vos cryptos

Il est utile de savoir ce qui se dresse entre un attaquant et vos fonds, car ce sont précisément ces couches de protection qui rendent le piratage à distance irréaliste.

Votre code PIN protège l’accès par l’appareil. Après chaque PIN erroné, l’appareil impose une attente plus longue avant l’essai suivant, et après 16 tentatives erronées (10 sur le Safe 7), il efface les données du portefeuille. Cela n’exclut pas les attaques physiques spécialisées sur les anciens modèles : dans les recherches décrites plus haut, des PIN courts ont été retrouvés après l’extraction de données chiffrées. Si vous oubliez votre PIN Trezor, vérifiez votre sauvegarde avant d’envisager une réinitialisation : vous restaurez à partir de la sauvegarde de votre portefeuille, sans rien « craquer ». Votre passphrase, souvent appelée le 25e mot, crée un portefeuille caché qui n’est pas du tout stocké sur l’appareil ; c’est précisément pour cela qu’elle met en échec les attaques décrites plus haut, qui extraient la phrase de récupération. Si vous avez perdu votre passphrase Trezor, c’est ce portefeuille caché qui détient vos fonds. Sur les modèles Safe récents, un élément sécurisé EAL6+ ajoute une résistance matérielle aux manipulations physiques. Shamir Backup (SLIP-39), disponible sur les modèles Safe et le Model T, permet de répartir la sauvegarde de votre portefeuille en plusieurs parts, et une seule part volée ne suffit jamais à restaurer le portefeuille.

Signes que votre Trezor ou votre portefeuille pourrait être compromis

Une frayeur du type « je me suis fait pirater » peut s’expliquer par quelque chose d’inoffensif, par exemple un portefeuille caché vide ou un chemin de dérivation qui ne correspond pas. Considérez néanmoins les éléments suivants comme de véritables signaux d’alarme : des transactions sortantes de vos comptes que vous n’avez pas autorisées, une passphrase ou un code PIN qui cesse soudain de fonctionner alors qu’il avait toujours fonctionné, un e-mail ou un site qui vous a demandé de saisir votre phrase de récupération, ce que vous avez fait, ou un appareil livré avec une carte de sauvegarde préremplie ou des instructions « d’activation » (une arnaque classique de la chaîne d’approvisionnement, car un vrai Trezor génère toujours votre phrase de récupération lors de votre propre configuration).

Si votre solde est à zéro alors que vous n’avez jamais partagé votre phrase de récupération, la cause est bien plus probablement une passphrase manquante ou un mauvais type de compte qu’un piratage. Notre guide sur une phrase de récupération Trezor perdue ou non valide traite de ces cas.

Que faire si vous pensez que votre Trezor a été piraté

Agissez calmement et dans l’ordre.

• Si vous contrôlez encore un appareil sûr et votre phrase de récupération, mettez d’abord vos fonds à l’abri. Configurez un tout nouveau portefeuille sur un appareil de confiance, idéalement avec une nouvelle phrase de récupération et une passphrase, et transférez-y tout immédiatement. Notre guide de récupération du portefeuille Trezor détaille le processus de restauration, et le guide pour récupérer un portefeuille Trezor sans l’appareil traite le cas d’un appareil perdu ou volé.
• Ne saisissez jamais votre phrase de récupération sur un site web, même s’il ressemble à celui de Trezor. Utilisez uniquement l’appareil et l’application officielle Trezor Suite.
• N’interagissez plus avec l’e-mail ou le site suspects, ni avec le prétendu « support ». Ne payez personne qui vous promette d’annuler une transaction.
• Si des cryptomonnaies ont été dérobées, conservez les identifiants de transaction et les adresses, et portez plainte pour vol auprès de la police. Aux États-Unis, c’est l’Internet Crime Complaint Center du FBI, sur ic3.gov, qui reçoit ces signalements.
• Si votre problème est un accès perdu plutôt qu’un vol (une passphrase égarée ou une carte de sauvegarde endommagée ou incomplète), vous êtes face à un problème différent d’un piratage, et c’est celui sur lequel nous travaillons.

Une transaction blockchain confirmée ne peut pas être annulée. En cas de vol, seules les autorités ou la plateforme d’échange destinataire peuvent agir, sans garantie de résultat. Méfiez-vous des promesses de récupération garantie. Crypto Recovers vous aide à retrouver l’accès à votre propre portefeuille ; nous ne récupérons pas les fonds volés.

Comment Crypto Recovers peut vous aider

Si vous avez perdu l’accès à votre propre Trezor parce que la phrase de récupération est partielle ou non valide, ou que la passphrase est oubliée, c’est notre spécialité, y compris lorsque le code PIN est perdu lui aussi. Un code PIN oublié, à lui seul, ne peut pas être récupéré par nos soins ; avec une phrase de récupération complète, vous restaurez vous-même le portefeuille. La première évaluation est gratuite et ne nécessite aucun secret de votre portefeuille, et nous travaillons selon le principe « pas de récupération, pas de frais ». Si un cas n’est pas récupérable, nous vous le disons. Vos cryptos ne passent jamais entre nos mains non plus : si l’accès est rétabli, vous les transférez vous-même vers un nouveau portefeuille que vous avez créé, et vous réglez vous-même les frais convenus, par un paiement séparé.

Si vous craignez une possible compromission et souhaitez un second avis avant d’agir, contactez-nous ou commencez par notre service de récupération Trezor.

FAQ : Trezor piraté

Un Trezor peut-il être piraté à distance ?

Non. Il n’existe aucun cas documenté publiquement de Trezor piraté à distance pour voler des fonds. Vos clés privées ne quittent jamais l’appareil : un attaquant à distance n’a donc aucun chemin en ligne pour les atteindre. Les pertes à distance viennent du phishing, pas d’une brèche dans l’appareil.

Le Trezor a-t-il déjà été piraté ?

En laboratoire, oui. Kraken Security Labs (2020) puis Unciphered (2023) ont extrait la phrase de récupération d’appareils Trezor qu’ils avaient entre les mains, en exploitant une vulnérabilité au niveau de la puce sur d’anciens modèles. Ces deux attaques exigent l’appareil physique et sont neutralisées par une passphrase. En 2026, une équipe de recherche a par ailleurs découvert, à l’aide d’un laser en laboratoire, une faille dans l’un des deux éléments sécurisés du Trezor Safe 7 ; selon Trezor, cette faille ne peut exposer ni le code PIN, ni les fonds, ni la sauvegarde du portefeuille.

Le Trezor peut-il être piraté si quelqu’un vole l’appareil ?

Sur les anciens modèles sans élément sécurisé (Model One et Model T), un attaquant très qualifié disposant de matériel de laboratoire pourrait extraire la phrase de récupération. C’est pourquoi une passphrase compte autant : elle n’est pas stockée sur l’appareil et bloque ces attaques. Les modèles Trezor Safe plus récents ajoutent un élément sécurisé qui résiste à l’extraction physique. Dans tous les cas, restaurez votre portefeuille à partir de sa sauvegarde sur un nouvel appareil et transférez les fonds vers un nouveau portefeuille doté d’une nouvelle sauvegarde.

Un Trezor est-il toujours sûr à utiliser ?

Oui. Les attaques documentées exigent d’avoir l’appareil en main et du matériel de laboratoire : le risque pratique est donc le phishing, pas le matériel. Utilisez une passphrase, gardez l’appareil en votre possession et ne saisissez jamais votre phrase de récupération sur un site web.

L’e-mail « STM32 Entropy Vulnerability » vient-il vraiment de Trezor ?

Non. L’e-mail « Critical Security Alert: STM32 Entropy Vulnerability » de septembre 2026 était du phishing, envoyé via Brevo, prestataire d’e-mailing de Trezor victime d’une intrusion. Selon Trezor, aucun produit, portefeuille ou système de compte Trezor n’a été touché. Si vous avez cliqué sur le lien sans rien saisir, Trezor indique qu’aucune action n’est nécessaire. Si vous avez saisi la sauvegarde de votre portefeuille, transférez immédiatement vos fonds vers un nouveau portefeuille doté d’une nouvelle sauvegarde.

Les cryptos volées sur un Trezor piraté peuvent-elles être récupérées ?

Une transaction confirmée ne peut pas être annulée. En cas de vol, seules les autorités ou la plateforme d’échange destinataire peuvent agir, et la restitution n’est jamais garantie. Crypto Recovers intervient en cas de perte d’accès à votre propre portefeuille, par exemple après l’oubli d’une passphrase ou avec une phrase de récupération incomplète ; nous ne récupérons pas les fonds volés.