Comment protéger Trezor des attaques de phishing ? (Conseils de sécurité)

Vérifier les canaux d'achat officiels

1. Achetez toujours des appareils Trezor directement auprès de trezor.io ou de revendeurs agréés répertoriés sur le site officiel.

2. Évitez d'acheter sur des marchés tiers, des publicités sur les réseaux sociaux ou des groupes Telegram/Discord non officiels.

3. Vérifiez soigneusement l'orthographe du domaine : les fautes de frappe telles que « trezor-store.com » ou « trezor-official.net » sont des pièges de phishing courants.

4. Confirmez HTTPS et le certificat SSL valide avant de saisir des informations personnelles ou de paiement sur les pages d'achat.

5. Lors de la livraison, inspectez l'emballage pour déceler des signes de falsification tels que des sceaux brisés, des étiquettes incompatibles ou des ports USB altérés.

Configuration sécurisée du micrologiciel et de la récupération

1. N'installez jamais de mises à jour du micrologiciel à partir de liens reçus par e-mail, SMS ou notifications non sollicitées.

2. Téléchargez toujours le firmware manuellement depuis trezor.io/firmware après avoir vérifié la somme de contrôle SHA256 publiée sur le blog officiel.

3. Générez votre graine de récupération de 12 ou 24 mots exclusivement sur l'écran de l'appareil Trezor : ne la saisissez jamais sur un ordinateur ou un téléphone.

4. Notez la graine manuellement à l’aide d’un stylo et de papier ; ne le stockez jamais sous forme numérique et ne prenez jamais de captures d’écran.

5. Vérifiez chaque mot lors de la configuration par rapport à la liste de mots officielle BIP-39 affichée sur l'appareil lui-même.

Meilleures pratiques en matière de confirmation de transaction

1. Vérifiez toujours l'adresse du destinataire, le montant et les frais de réseau sur l'écran Trezor, pas seulement dans MetaMask ou d'autres interfaces utilisateur de portefeuille.

2. Rejetez toute transaction dans laquelle l'appareil affiche une adresse de contrat inconnue ou un symbole de jeton inattendu.

3. Désactivez la « signature aveugle » sauf si cela est absolument nécessaire et seulement après avoir confirmé la légitimité de l'outil externe par une recherche indépendante.

4. Utilisez l'explorateur de blockchain intégré de Trezor Suite pour vérifier les transactions en attente avant l'approbation finale.

5. Si l'appareil demande une confirmation sans afficher tous les détails, déconnectez-vous immédiatement et recherchez la source dApp.

Évitez les fausses interfaces de portefeuille

1. Ajoutez trezor.io à vos favoris et n’y accédez jamais via les résultats des moteurs de recherche dépourvus de badges de site vérifiés.

2. Ne saisissez jamais votre phrase de récupération ou votre code PIN dans un formulaire Web, même si la page semble identique à celle de Trezor Suite.

3. Installez des extensions de navigateur telles que MetaMask uniquement à partir des pages officielles du Chrome Web Store ou des modules complémentaires Firefox, et non à partir des informations essentielles de GitHub ou des partages de fichiers Discord.

4. Vérifiez la barre d'URL pour détecter les fautes d'orthographe subtiles : « trezor-suite.app », « trezorsuite.dev » ou « trezor-login.net » sont tous des domaines malveillants.

5. Activez la protection par phrase secrète de Trezor pour ajouter une deuxième couche d'authentification qui n'existe que dans votre mémoire.

Foire aux questions

Q : Les sites de phishing peuvent-ils imiter l'écran de connexion de Trezor Suite ? Oui. Les attaquants clonent parfaitement l'interface, y compris les animations et la mise en page, mais interceptent les informations d'identification saisies dans de faux formulaires. Trezor Suite ne demande jamais votre graine de récupération en ligne.

Q : Est-il sûr d'utiliser Trezor avec des échanges décentralisés comme Uniswap ? Oui, si vous vous connectez via WalletConnect ou via USB direct et confirmez chaque transaction sur l'appareil. N’approuvez jamais d’allocations de jetons illimitées sans d’abord examiner l’adresse du contrat intelligent.

Q : Que se passe-t-il si je saisis mon code PIN sur un site de phishing ? Rien : le code PIN n'est utilisé que localement sur l'appareil. Cependant, la saisie de votre phrase de récupération ou de votre phrase secrète sur n'importe quel site Web entraînera une perte immédiate des actifs.

Q : Trezor prend-il en charge les listes de mots anti-phishing comme le fait Ledger ? Non. Trezor s'appuie sur l'isolation matérielle et la vérification manuelle au lieu de mots anti-phishing liés au domaine. Son modèle de sécurité suppose que les utilisateurs valident toutes les données à l'écran avant d'appuyer sur le bouton physique.