Comment ça fonctionne
Trezor est une gamme de portefeuilles matériels conçue par SatoshiLabs, une société pragoise fondée en 2013 par Marek Palatinus et Pavol Rusnák. Son premier appareil, le Trezor One, date d'août 2014 : le premier portefeuille matériel Bitcoin du marché. Douze ans plus tard, la mission reste la même : générer une phrase de récupération sur un appareil dépourvu de toute pile réseau, puis signer les transactions sans jamais exposer les clés privées à un ordinateur.
L'application de bureau associée, Trezor Suite, prépare une transaction non signée et la transmet à l'appareil via USB. Le Trezor affiche le destinataire et le montant sur son propre écran, le propriétaire valide avec un code PIN, et la transaction signée revient vers Suite pour être diffusée. Une phrase de passe optionnelle permet de dériver un portefeuille distinct à partir de la même phrase de récupération — la parade contre l'extraction physique.
La gamme se distingue par la puce utilisée. Les Safe 3 et Safe 5 associent le micrologiciel ouvert de Trezor à un élément sécurisé Optiga Trust M certifié Common Criteria EAL6+. Le Safe 7 ajoute le TROPIC01 de Tropic Square — un élément sécurisé publié pour inspection plutôt que simplement certifié — aux côtés de l'Optiga et d'un microcontrôleur STM32U5 : trois puces, trois fournisseurs.
KYC et confidentialité
L'appareil ne demande rien. Aucun compte, aucun e-mail, aucune vérification d'identité, aucune télémétrie — une fois le Trezor en main, aucun serveur ne sait qu'il existe. Trezor Suite est open source, achemine ses connexions via Tor sur demande, et propose un contrôle des pièces (coin control). Coinjoin quitte Suite le 1 juin 2024, après la fermeture par zkSNACKs du coordinateur dont il dépendait.
C'est à l'achat que l'identité entre en jeu. La boutique officielle demande un nom, une adresse e-mail et une adresse de livraison, et transmet ce dossier à un prestataire logistique. Le 13 août 2026, SatoshiLabs révèle le piratage de l'un d'eux, ShipMonk : nom complet, e-mail, téléphone et adresse de livraison exposés pour 11 742 clients, nom, ville et e-mail pour 1 947 autres — soit 13 689 dossiers au total, issus de commandes passées entre le 10 mai et le 8 août 2026 et expédiées vers les États-Unis, le Royaume-Uni, la Suède, la Colombie, le Brésil, l'Italie et le Portugal. Les systèmes propres à Trezor, les appareils, les clés et les sauvegardes de portefeuille restent intacts, tout comme le contenu des colis. C'est le second incident du genre : en janvier 2024, un portail d'assistance tiers expose les noms et e-mails de jusqu'à 66 000 personnes ayant contacté le support depuis décembre 2021, et 41 d'entre elles reçoivent ensuite un e-mail direct leur demandant leur phrase de récupération.
La réponse s'appelle Livraison anonyme — un parcours de commande distinct, avec pseudonyme à la place du nom réel, emballage neutre à expéditeur générique, retrait en consigne, et suppression des identifiants de livraison une fois le colis arrivé. Elle arrive dans l'UE en septembre 2026 et aux États-Unis d'ici la fin de l'année. La boutique accepte déjà le Bitcoin on-chain ou via Lightning, ainsi qu'Ether, USDC, Litecoin et Solana, via Confirmo.
Forces et limites
L'ouverture est l'argument le plus solide. Les schémas du micrologiciel et du matériel sont publiés, et SatoshiLabs divulgue des découvertes qui la desservent — dont deux émanant de Ledger Donjon, le laboratoire de sécurité de son principal concurrent. En mars 2025, Donjon montre qu'une attaque par glitch de tension atteint le microcontrôleur des Safe 3 et Safe 5, où s'exécutent les opérations cryptographiques bien que l'élément sécurisé conserve le code PIN et la phrase de récupération. En juin 2026, Trezor et Tropic Square publient l'attaque par injection de faute laser de Donjon sur le TROPIC01, qui contourne la vérification de signature du micrologiciel sur cette puce en conditions de laboratoire. Aucune des deux n'a coûté le moindre fonds à un utilisateur.
La limite ne se trouve pas dans le silicium. Elle se trouve dans le colis. Un portefeuille matériel doit voyager, et chaque entrepôt, transporteur et prestataire sur ce trajet constitue une base de données que l'appareil a pour vocation de rendre superflue. Deux fuites en trente mois relèvent d'une tendance plutôt que d'un accident, et une liste d'expédition est ici une donnée particulièrement mal choisie à perdre : elle désigne nommément des personnes connues pour détenir leurs propres clés, à leur domicile.
Verdict
Trezor est le portefeuille matériel open source de référence, et l'appareil tient sa part du contrat : il n'apprend jamais qui le possède. Ce qu'il ne peut pas protéger, c'est l'adresse dont un transporteur a besoin, et deux fuites chez des prestataires en trente mois montrent pourquoi cette distinction mérite plus d'attention que ne lui en accorde le discours commercial. Acheté en Bitcoin, livré en consigne, commandé sous pseudonyme, il s'approche de la meilleure réponse du marché ; commandé de façon ordinaire, il enregistre votre nom et votre adresse dans l'entrepôt de quelqu'un d'autre. Note: A (9,1/10). Confiance: CAUTION.
Trezor est le portefeuille matériel open source de référence, et l'appareil tient sa part du contrat : il n'apprend jamais qui le possède. Ce qu'il ne peut pas protéger, c'est l'adresse dont un transporteur a besoin, et deux fuites chez des prestataires en trente mois montrent pourquoi cette distinction mérite plus d'attention que ne lui en accorde le discours commercial. Note: A (9,1/10). Confiance: CAUTION.
