L’audit de Ledger révèle une faille de puce dans le Trezor Safe 7, les clés privées ne sont pas affectées

Le 4 juin, Cryptopolitan a rapporté que Donjon, l’équipe de recherche en sécurité de Ledger, a contourné, lors d’un audit indépendant du portefeuille matériel Trezor Safe 7, le processus de vérification de signature du composant de sécurité interne TROPIC01 grâce à une technique d’injection de défauts par laser. Trezor a confirmé que les fonds et les clés privées des utilisateurs ne sont pas affectés.

Attaque par injection de défauts au laser : méthode technique confirmée et découvertes de Donjon

Les chercheurs de Donjon ont ouvert l’emballage de la puce TROPIC01, en exposant le silicium à un laser infrarouge de manière précise afin de perturber son processus de vérification de signature, lui permettant d’exécuter du code non autorisé sur une puce donnée.

Après avoir reçu les résultats de l’enquête de Donjon, des ingénieurs de Tropic Square ont identifié une voie d’attaque connexe qui permet d’extraire un autre secret lié à la fonction de protection du code PIN de la puce. Tropic Square avait auparavant fourni à Donjon des échantillons de puces commerciales pour évaluation ; cette divulgation suit un processus de divulgation responsable des vulnérabilités.

L’exploitation réelle de cette vulnérabilité nécessite : une possession physique de l’appareil, un démontage matériel, l’ouverture de l’emballage de la puce par l’arrière, ainsi que l’utilisation d’un équipement spécialisé d’injection de défauts par laser. Deddy Lavid, PDG de la société de sécurité blockchain Cyvers, a déclaré que ce type d’attaque est « extrêmement peu réaliste » dans un contexte d’application pratique, et a souligné que, pour la plupart des utilisateurs, le hameçonnage, le vol de phrases mnémoniques et les signatures à l’aveugle constituent des menaces bien plus importantes.

Questions fréquentes

Les utilisateurs actuels de Trezor Safe 7 doivent-ils prendre des mesures immédiates ?

D’après la déclaration officielle de Trezor, les utilisateurs actuels n’ont aucune action à entreprendre. La vulnérabilité se situe au niveau matériel de TROPIC01 et ne peut pas être corrigée via une mise à jour logicielle, mais Tropic Square indique qu’une nouvelle version de puce de production est en cours pour corriger la vulnérabilité. Trezor confirme également que les clés privées et les sauvegardes de portefeuille ne sont pas stockées sur les puces TROPIC01 concernées.

Qu’a de particulier la puce TROPIC01, et pourquoi faut-il s’y intéresser ?

La puce TROPIC01 est conçue par Tropic Square et est décrite comme le premier composant de sécurité présentant à la fois une conception matérielle et le code source du micrologiciel publiés. Elle se distingue par ses caractéristiques d’architecture de sécurité open source. Ce que Ledger Donjon réalise est un audit indépendant par un tiers ; Tropic Square a fourni de son propre initiative des échantillons de puces commerciales pour évaluation. La découverte de cette vulnérabilité relève d’un processus de divulgation responsable porté par la recherche en sécurité ouverte.

Ledger et Trezor sont des concurrents directs : y a-t-il un conflit d’intérêts dans cet audit ?

Ledger Donjon est le département de recherche en sécurité de Ledger. Ledger et Trezor ont une relation de concurrence directe sur le marché des portefeuilles matériels. L’audit correspond à un projet d’évaluation autorisé par Tropic Square : Tropic Square a fourni à Donjon de son propre initiative des échantillons de puces commerciales. Donjon a ensuite signalé les résultats de son enquête à Tropic Square via un processus officiel de divulgation responsable dans la seconde moitié de janvier 2026. Les deux sociétés ont ensuite publié conjointement la présente découverte.