J’ai fais un court post là dessus : Rémi D'Alise on LinkedIn: #sécurité #crypto #hardwarewallet #tangem #bitcoin
1 « J'aime »
Je profite de ce débat pour poser une question:
- sur ledger, si j’envoie des fonds sur finary, par exemple, on doit me demander à chaque fois ma seedphrase?
non, ton code pin ledger
D’où tu tiens la réponse de Tangem qui parle de 7 jours ?
Une communication officielle (https://www.reddit.com/r/Tangem/comments/1hougo1/comment/m4cwheo/) dit :
It could have affected a very limited group of users: specifically, those who used a generated seedphrase, then immediately submitted a support request through the app. It does not affect any other users.
Soit « immédiatement après », ce qui est vraisemblablement faux et volontairement trompeur, si on en croit les posts qui disent le contraire.
Quand ton boulot c’est de protéger la clef privée des gens et que tu arrives à faire ça, c’est soit de la négligence caractérisée, soit une intention malhonnête. Dans les deux cas, suffisamment pour ne jamais leur faire confiance.
Fun fact, sur leur site (Tangem help center):
Key Security and Storage:
All methods of creating a wallet work the same way for storing keys. No one can access the keys, whether they stole the card, work for Tangem, or even own it. The private key cannot be removed from the card under any circumstances.
1 « J'aime »
Il fallait peut être juste lire la suite de leur communication sur Reddit:
« Who could be potentially affected by this? This statement applies to users who: a. Activated a wallet using a seed phrase. b. Contacted our support team through the app within 7 days of activation. It is only by combining these two factors that there could have been a potential vulnerability. If you generated or imported a seed phrase but did not email support directly from the app within the log storage period, you were not affected. »
Merci pour ce ton particulièrement agréable.
Ça confirme donc la communication volontairement trompeuse de la part de Tangem.
1 « J'aime »
On ne te demandera jamais ta seed phrase. Le seul endroit ou tu dois t’autoriser de renseigner ta seed phrase c’est sur le hardware wallet lui même. Sur aucun software, jamais !!! jamais !!! jamais !!!
Il faut que ce soit absolument clair
Il y a par exemple des arnaques qui consistent a te faire télécharger un faux ledger live en te demandant de mettre ta seed phrase pour qu’ils puissent la récupérer et donc de prendre le controle du wallet.
3 « J'aime »
C’est en effet dans leur communication officielle : https://www.reddit.com/r/Tangem/comments/1hougo1/comment/m4jygh9/
Intention malhonnête je ne crois pas du tout. On pourrait partir dans le fantasme du développeur qui a voulu partir avec l’argent des clients mais c’est peu probable. Je mise plutôt pour une énorme négligence.
Ça prouve encore que open source veut dire que c’est plus transparent, mais pas automatiquement plus sécurisé. Il y a pourtant eu pas mal d’audits de sécurité.
Je sais que Tangem a beaucoup séduit, et je comprends pourquoi : la simplicité c’est tentant, pas de seed phrase à gérer c’est tentant, un simple tap pour valider c’est tentant. Mais :
- Seed phrase générée sur mobile : même après la correction de ce bug la seed phrase sera toujours générée sur un mobile, qui reste un environnement vulnérable, point.
- Pas d’écran de vérification des transactions : donc impossible de vérifie que la transaction n’est pas trafiquée, vous devez faire 100% confiance à votre téléphone et à l’application mobile.
Et quand je présente de simples arguments de sécurité du point de vue des vecteurs d’attaques possibles (et classiques) je fais face à une commu assez virulente et des réponses « marketing ».
2 « J'aime »
Ca dit juste qu ils loggent ta seed phrase lors d un import, c est juste inacceptable et de l amateurisme… Gros red flag
Toujours en hésitation entre prendre la Ledger Nano S ou le Trezor 3… Si certains connaissent bien les deux environnements je suis preneur de vos retours 
Un peu frileux car en me documentant sur les deux je découvre des vulnérabilités, hack, code non open source pour ledger etc.
@0xAlphabet , quelques infos qui j’espère t’aideronts
Concernant Ledger :
Hacks :
– fuite de données personnelles (nom, email, etc. des clients) de leur interface e-commerce en 2020
– un ancien employé victime d’une attaque par phishing permettant à l’attaquant de publier une version malveillante du Ledger Connect Kit Le code malveillant utilisait un faux Wallet Connect pour détourner des fonds vers un portefeuille contrôlé par le hacker
→ Aucun de ces hacks ne concerne la clé Ledger directement (extraction de la clé privée ou du code PIN)
Non open source :
– La majeure partie du code est open source sauf certaines parties critiques du firmware qui restent propriétaires pour protéger contre des attaques sophistiquées.
Concernant Trezor
Hacks :
– fuite de données personnelles (nom, email, etc. des clients) en 2024
– vulnérabilité liée à leur composant et à l’absence d’une puce Secure Element dédiée : extraction possible de la seed phrase sur l’appareil. Cette vulnérabilité critique ne peut pas être corrigée.
→ Les nouvelles versions (Safe) incluent depuis peu un Secure Element et uucune vulnérabilité détectée et rendue publique pour l’instant.
Comparaison
-
D’un point de vue purement design de sécurité, l’architecture matérielle des nouveaux Trezor qui incluent un secure element est meilleure qu’avant mais n’égale pas encore celle de Ledger. Ledger à un modèle unique :
– les seuls à développer un firmware dans un Secure Element
– la transaction est signée DANS le Secure Element
– l’écran de vérification est directement connecté au Secure Element.
En général personne n’explique ceci parce que ce ne sont pas des ingénieurs en hardware et en sécurité qui font les comparatifs et reviews des produits -
Du point de vue du caractère open source : c’est plus selon moi un argument de transparence et de confiance que tu fais dans le fournisseur plutôt qu’un argument de sécurité. Si je ne dis pas de bêtise il n’est pas possible de vérifier que le code open source de Trezor disponible sur github et bien celui compilé dans le hardware wallet par exemple. Et Ledger ne cache pas du code pour cacher des agissements (ce serait la fin de leur business) mais tout simplement parce qu’ils ne peuvent pas révéler du code du manufacturer de la puce sécurisée qu’ils utilisent (ce sont des question de propriété intellectuelle). Mais si tu maîtrise le sujet de l’open source et que c’est un critère important pour toi alors c’est bien évidemment un choix qui t’appartient.
Il y a d’autres critères de comparaisons à regarder
- Comme peut-être le nombre de coins et tokens supportés. Trezor en supportait moins historiquement mais ça a peut être changé.
- Ledger avance bcp sur le sujet du clear signing également, afin de renforcer la clareté des informations qui apparaissent sur ton écran lorsque tu interagis avec des smart contracts.
Personnellement je conseillerai toujours un Ledger pour leur design de sécurité mais je conçois qu’on puisse me prêter un certains biais et je respecte le choix de tout le monde. J’ai des clients qui souhaitent utiliser Trezor et dans ce cas je leur recommande la version Safe 3 ou Safe 5.
J’espère que ça t’éclaire un peu.
2 « J'aime »
Et quel est ton avis sur le wallet BTC only ColdCard (le MK4) par exemple ?
Dans l’idée j’aimerais séparé mes BTC du reste qui pourrait être chez Ledger par exemple.
Pourquoi séparer si tu utilises déjà un Ledger ? Simple question ça m’intéresse.
Ce que je peux dire sur Coldcard :
- Les versions antérieures à MK4 ont été cassées par Ledger et leur nouvelle architecture est plus robuste qu’avant.
- Mais il n’utilise pas de Secure Element certifiés mais des Safe Memory. Personnellement je suis team Secure Element car ce sont des composants conçus pour résister à des attaques très sophistiquées et certifiés pour cela. Les Safe Memory c’est le niveau en dessous on peut dire.
- Après, eux considèrent que les Secure Element certifiés présentent un risque car une partie de leur code n’est pas Open Source donc leur choix de composants se comprend. Leur firmware est Open Source mais c’est un gage de transparence, pas de sécurité, comme je le disais au dessus
- Ils supportent assez bien toutes les fonctionnalités Bitcoin
Les principaux inconvénients que je vois sont le peu d’application compatible et une expérience utilisateur assez moyenne
- Peu d’applications compatibles et majoritairement desktop : Specter (desktop), Sparrow Wallet (desktop), Electrum (Desktop), Nunchuk (version mobile aussi), et peut être Wasabi.
- Experience utilisateur - transactions : c’est air gap donc pas de câble USB, pas de Bluetooth, ça veut dire que tu fais tes transactions majoritairement en scannant des QR codes principalement. Avec majoritairement des apps desktop c’est pénible de scanner un QR code sur ton tel depuis ton PC. Personnellement je suis pas fan.
- Experience utilisateur - mises à jour : les mises à jour se font via une carte microSD. Tu télécharges la mise à jour sur ton PC, tu la sauves dans une carte MicroSD, tu charges la carte dans le Coldcard, etc. Je trouve que c’est une tannée.
L’autre inconvénient que je vois si par ailleurs tu utilises déjà un Ledger c’est que tu t’ajoutes une seed phrase en plus à gérer. C’est déjà compliqué pour la plupart avec une seed phrase. Mais c’est personnel et ça t’appartient complètement.
Je ne vois pas d’avantages « personnellement » face à un Ledger ou un Trezor Safe, en tout cas pas sur l’angle sécurité.
1 « J'aime »
Super merci beaucoup de ton retour.
Tout simplement pour coller a l’adage « Ne pas mettre tous ses oeufs dans le même panier ».
Mais peut être que dans ce cas d’usage, cela n’a que peu d’intérêts.
1 « J'aime »
Merci beaucoup pour ton retour très détaillé !
Je pense effectivement partir sur une ledger, je vais attendre la prochaine opération commerciale car j’ai loupé celle avec des BTC offerts pour Noel 
Bonne journée
1 « J'aime »
@0xAlphabet avec plaisir
Vous avez investi combien à peu près en crypto par curiosité?
Je ne saurais pas vous dire exactement mais en valeur de portefeuille à l’heure actuelle je suis autour de 2500$.
Bonne fin de journée
1 « J'aime »
On en est où en 2026 ? 
1 « J'aime »