Trezor avis : fiable ou pas en cas de faillite ? Implant découvert dans trois Safe 5 vendus par un revendeur, mise à jour 2.13.1 et recours (2026)

Les recherches trezor avis, trezor fiable ou pas ou trezor faillites traduisent la même question : que deviendraient vos cryptos si le fabricant de votre portefeuille physique faisait faillite, ou si l’appareil avait été piégé avant sa livraison ? Trezor, marque du groupe SatoshiLabs commercialisée par Trezor Company s.r.o., société de droit tchèque établie à Prague, a publié le 12 novembre 2026 les résultats de son enquête : selon l’entreprise, trois Safe 5 achetés entre le 20 août et le 23 septembre 2026 auprès d’un ancien revendeur agréé, établi hors de l’Union européenne, contenaient un implant capable de capter les mots de sauvegarde affichés à l’écran. Trezor indique avoir diffusé le 11 novembre la mise à jour 2.13.1, qui neutraliserait les implants trouvés, et réduit d’environ 80 % son réseau de revendeurs ; aucun propriétaire n’aurait perdu de fonds et aucun cas n’a été confirmé ailleurs, selon lui. À la date de rédaction, nous n’avons trouvé ni décision de justice ni mesure d’une autorité visant le fabricant : aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul un juge pourrait trancher un litige.

La réponse tient en deux niveaux. Vos cryptos ne sont pas conservées par le fabricant, mais votre appareil, sa garantie, ses mises à jour et la chaîne de distribution dépendent bien de lui. La première partie examine ce qui se passerait si l’entreprise disparaissait ; la seconde, ce qu’il faut faire face à un appareil suspect ou à une fausse offre de remplacement, et contre qui agir depuis la France.

I. Si le fabricant faisait faillite, que deviendraient vos cryptos, votre appareil et vos garanties ?

A. Vos cryptos ne sont pas chez le fabricant : ce que change un portefeuille sans dépositaire

Un portefeuille physique ne contient pas de cryptos. Celles-ci restent inscrites sur leur chaîne de blocs ; l’appareil génère et conserve les clés privées qui permettent de les dépenser, et l’utilisateur obtient, lors de la configuration, une suite de 12, 20 ou 24 mots, la sauvegarde du portefeuille, qui permet de reconstituer ces clés sur un autre appareil. La documentation du fabricant précise que cette sauvegarde suit les standards ouverts BIP-39 ou SLIP-39, et les conditions d’utilisation de son application indiquent que les mots ne sont jamais transmis à l’ordinateur ni au téléphone : ils s’affichent sur l’écran de l’appareil, et seulement là. C’est précisément cet écran que visait l’implant décrit plus bas.

La foire aux questions du fabricant, publiée en français, aborde directement l’hypothèse d’une fermeture de la société. Elle affirme qu’en ce cas « il n’y aurait rien à craindre », que l’appareil est compatible avec d’autres portefeuilles conformes aux standards BIP32, BIP39 et BIP44, qu’en urgence la phrase de récupération pourrait être saisie dans un portefeuille logiciel, solution qu’elle déconseille, et que, si l’entreprise cessait ses activités, « ni vos cryptos ni vos clés » privées et publiques ne disparaîtraient. Un ancien billet de son blog ajoute qu’en pareille hypothèse « everything is still open source » : le code du micrologiciel et de l’application étant publié, d’autres développeurs pourraient en assurer la maintenance. Ces affirmations sont celles de l’entreprise ; elles décrivent un fonctionnement technique, non une garantie juridique.

Juridiquement, cette architecture a une conséquence nette : le fabricant n’est pas un dépositaire. Le considérant 83 du règlement européen MiCA, qui prévoit que les prestataires conservant des crypto-actifs pour le compte de clients répondent des pertes liées à un incident informatique, y compris un vol, précise dans sa dernière phrase que les fournisseurs de matériel ou de logiciel pour des « portefeuilles non hébergés » ne « devraient pas entrer dans le champ » du règlement. La conséquence est double. D’un côté, la faillite du fabricant n’emporterait pas vos cryptos, qui ne figurent pas à son bilan. De l’autre, aucune des protections attachées à la conservation par un prestataire autorisé, qu’il s’agisse de la séparation des avoirs ou de la responsabilité en cas d’incident, ne joue au profit de l’utilisateur d’un portefeuille physique.

Aucun fonds de garantie ne prendrait davantage le relais. L’article L. 312-4 du code monétaire et financier énumère les établissements qui « adhèrent au fonds de garantie des dépôts et de résolution » : établissements de crédit, entreprises d’investissement et sociétés de financement agréés en France, notamment. Un fabricant de matériel n’en fait pas partie, et les cryptos détenues dans un portefeuille personnel ne sont ni des dépôts ni des titres conservés par un intermédiaire.

Il en va de même des services d’achat, de vente ou d’échange accessibles depuis l’application du fabricant. Ses conditions d’utilisation, mises à jour le 1er janvier 2026, précisent que ces services sont fournis par des prestataires tiers et que l’éditeur n’est partie à aucune relation juridique entre l’utilisateur et ces prestataires : « we are not in any way party », écrit-il. Si l’un de ces prestataires faisait défaut, c’est contre lui, et non contre le fabricant, qu’une réclamation devrait être dirigée, selon ses propres conditions.

Le risque principal est donc ailleurs : la perte ou la divulgation des mots de sauvegarde. Les mêmes conditions rappellent que quiconque détient ces mots peut disposer des cryptos associées et qu’en cas de vol il n’existe « no possible recovery ». La mise à jour d’octobre 2026, qui porte de 50 à 128 caractères la longueur possible de la phrase secrète complémentaire, s’accompagne d’un avertissement du fabricant : une phrase mal saisie ou oubliée peut faire perdre les fonds. Pour un épargnant, la question de la faillite du fabricant compte donc moins que la discipline de conservation : une sauvegarde écrite, jamais photographiée ni saisie ailleurs que sur l’appareil lui-même, rangée à l’abri et dont l’existence est connue d’un proche de confiance en cas de décès ou d’incapacité.

Nous avons détaillé les mêmes mécanismes pour un portefeuille logiciel sans dépôt, pour un portefeuille qui propose une connexion par un compte Google ou Apple et pour le passage d’une plateforme à une clé matérielle.

Reste ce qui dépend vraiment du fabricant : les mises à jour du micrologiciel, l’application qui pilote l’appareil, l’assistance et la garantie. Sur le premier point, l’entreprise a mis fin à la vente des Model One et Model T sur sa boutique en ligne et s’engage, selon sa page d’assistance, à fournir des mises à jour de sécurité critiques « until at least 2036 » et une maintenance de base « until at least 2031 », la prise en charge de nouvelles cryptos sur le Model T étant assurée jusqu’en 2031 au moins. Passé ces dates, les appareils resteraient fonctionnels, mais l’entreprise recommande de passer à un modèle plus récent et admet ne plus pouvoir tout garantir ; elle indique aussi qu’il est incertain que le Model One puisse suivre de futurs standards cryptographiques résistants aux ordinateurs quantiques.

Le droit français de la consommation donne à ces engagements un appui, du moins à l’égard du vendeur. Un portefeuille physique relève, à notre lecture, de la catégorie des biens comportant des éléments numériques définie par l’article liminaire du code de la consommation, qui vise le bien meuble corporel intégrant un contenu ou un service numérique sans lequel il ne pourrait remplir ses fonctions. L’article L. 217-4 range parmi les critères de conformité la mise à jour du bien conformément au contrat, et l’article L. 217-19 dispose que « Le vendeur veille à ce que le consommateur soit informé et reçoive les mises à jour nécessaires au maintien de la conformité des biens », pour une fourniture unique « Durant une période à laquelle le consommateur peut légitimement s’attendre ».

Cette obligation pèse sur le vendeur, non sur le fabricant en tant que tel. Si vous avez acheté sur la boutique en ligne de la marque, les deux se confondent ; si vous avez acheté chez un revendeur, c’est vers lui qu’il faudrait se tourner. En cas de faillite du fabricant, l’obligation de mise à jour deviendrait largement théorique, puisqu’une créance contre une société insolvable ne serait payée, au mieux, qu’à proportion de ses actifs. C’est ce qui donne son poids au caractère ouvert du code, qui permettrait à d’autres de maintenir les logiciels, sans que cette possibilité constitue un droit opposable à quiconque.

B. Commande, garantie, remboursement : ce que vaudrait une créance contre une société tchèque défaillante

Les conditions de vente de la boutique en ligne, mises à jour le 15 octobre 2026, désignent comme vendeur la société pragoise déjà citée, immatriculée au registre du commerce tenu par le tribunal municipal de Prague. Elles soumettent le contrat au droit tchèque, tout en réservant au consommateur les dispositions impératives de la loi de son pays de résidence habituelle lorsque l’article 6, paragraphe 1, du règlement Rome I s’applique, et attribuent compétence aux juridictions tchèques, notamment au tribunal d’arrondissement de Prague 8. Elles prévoient un droit de rétractation de quinze jours, un remboursement intégral si le produit est renvoyé inutilisé et scellé et, si le sceau holographique a été brisé, que l’acheteur « not be awarded any refund at all », un remboursement partiel restant possible à la discrétion du vendeur. La garantie commerciale dure deux ans à compter de la livraison, ne bénéficie qu’à l’acheteur d’origine d’un produit neuf acheté auprès de la marque, et la responsabilité du vendeur y est « limited solely to the product itself », à l’exclusion des dommages indirects. Les conditions d’utilisation du produit, datées du même jour, plafonnent en outre la responsabilité au prix d’achat de l’appareil.

Pour un acheteur résidant en France, ces clauses doivent être lues à la lumière du droit européen. L’article 6 du règlement Rome I soumet le contrat de consommation à la loi du pays de résidence habituelle du consommateur lorsque le professionnel y exerce son activité ou « dirige cette activité vers ce pays » ; le choix d’une autre loi ne peut alors « priver le consommateur de la protection » des dispositions impératives de cette loi. Sur la compétence, l’article 18 du règlement Bruxelles I bis permet au consommateur d’agir devant la juridiction de son propre domicile, « quel que soit le domicile » de l’autre partie, lorsque les conditions de l’article 17 sont réunies, et l’article 19 n’admet les clauses contraires que si elles sont « postérieures à la naissance du différend » ou ouvrent au consommateur d’autres juridictions.

Les juridictions françaises appliquent ces règles de manière concrète. La Cour de cassation juge qu’« En cas de contrat conclu avec un consommateur, celui-ci ne peut être privé par une clause attributive désignant une juridiction étrangère du droit de saisir les juridictions françaises s’il est domicilié en France » (Cass. 1re civ., 25 mars 2026, n° 24-21.790, § 13). À l’inverse, le juge des référés du tribunal judiciaire d’Évry a renvoyé un acheteur à mieux se pourvoir contre un vendeur établi en Allemagne, en rappelant que « La compétence du domicile du consommateur peut être retenue si celui-ci rapporte la preuve que le professionnel dirige son activité vers la France » : le contrat, les conditions générales, la facture et le site étaient rédigés en allemand, sans publicité ciblée en France, et la livraison avait eu lieu en Allemagne (TJ Évry, réf., 23 juin 2026, n° 25/01376).

Appliqué à un portefeuille commandé sur la boutique en ligne du fabricant, ce raisonnement plaiderait, à notre lecture, pour la compétence du juge français et pour l’application des règles impératives françaises : le site est proposé en français, le paiement est possible en euros et la livraison a lieu en France. Il reste prudent de conserver ces éléments, captures d’écran datées, confirmation de commande et facture, car c’est au consommateur de démontrer que l’activité était dirigée vers la France.

Sur le fond, la garantie commerciale ne remplace pas la garantie légale. L’article L. 217-3 du code de la consommation impose au vendeur de délivrer un bien conforme et précise qu’il « répond des défauts de conformité existant au moment de la délivrance du bien » qui apparaissent dans les deux ans ; le point de départ de la prescription de l’action est fixé au « jour de la connaissance par ce dernier du défaut de conformité ». Selon l’article L. 217-7, ces défauts « sont, sauf preuve contraire, présumés exister au moment de la délivrance » lorsqu’ils apparaissent dans les vingt-quatre mois. L’article L. 217-8 ouvre la réparation ou le remplacement, à défaut la réduction du prix ou la résolution du contrat, et ces règles s’appliquent « sans préjudice de l’allocation de dommages et intérêts ».

La clause qui limite la responsabilité au produit lui-même ou au prix d’achat se heurterait, si le droit français s’appliquait, à plusieurs règles. L’article R. 212-1 du code de la consommation tient pour abusive, de manière irréfragable, la clause ayant pour objet de « Supprimer ou réduire le droit à réparation du préjudice subi par le consommateur en cas de manquement par le professionnel à l’une quelconque de ses obligations », et la Cour de cassation a jugé qu’une clause de limitation de valeur relevant de cette catégorie était « présumée abusive de manière irréfragable » (Cass. 1re civ., 11 décembre 2019, n° 18-21.164). Une clause abusive est réputée non écrite, selon l’article L. 241-1 du même code. Pour les ventes à distance, l’article L. 221-15 rend en outre le professionnel « responsable de plein droit à l’égard du consommateur de la bonne exécution des obligations résultant du contrat conclu à distance ». Sous l’empire du texte antérieur, dont cet article reprend le principe, la Cour de cassation a jugé que le professionnel « ne peut conventionnellement exclure ni limiter, en dehors des prévisions de la loi, la réparation due au consommateur en cas d’inexécution ou de mauvaise exécution d’un tel contrat » (Cass. 1re civ., 13 novembre 2008, n° 07-14.856).

Reste la clause qui prive de tout remboursement l’acheteur ayant brisé le sceau. L’article L. 221-18 du code de la consommation accorde au consommateur quatorze jours pour se rétracter d’un contrat conclu à distance, délai que le contrat porte à quinze jours, ce qui lui est plus favorable. Selon l’article L. 221-23, « La responsabilité du consommateur ne peut être engagée qu’en cas de dépréciation des biens résultant de manipulations autres que celles nécessaires pour établir la nature, les caractéristiques et le bon fonctionnement de ces biens ». L’exception prévue au 5° de l’article L. 221-28, qui vise les biens descellés ne pouvant être renvoyés pour des raisons d’hygiène ou de protection de la santé, ne paraît pas viser un appareil de sécurité. À notre lecture, la clause devrait donc s’apprécier au cas par cas : le vendeur pourrait faire valoir la dépréciation d’un appareil descellé qu’il déclare ne pas pouvoir revendre, mais une privation automatique et totale du remboursement serait discutable.

Si l’entreprise devenait insolvable, la procédure serait ouverte, selon l’article 3 du règlement (UE) 2015/848 du 20 mai 2015 relatif aux procédures d’insolvabilité, dans l’État membre du centre de ses intérêts principaux, présumé être celui de son siège statutaire, ici la République tchèque, et elle serait régie par la loi de cet État en vertu de l’article 7. Un acheteur français dont la commande n’aurait pas été livrée, qui attendrait un remboursement ou dont l’appareil sous garantie n’aurait pas été remplacé serait un créancier étranger. L’article 53 lui permet de produire sa créance « par tous les moyens de transmission » admis par la loi de l’État d’ouverture, sans représentation obligatoire par un avocat ; l’article 54 impose d’informer sans délai les créanciers étrangers connus ; l’article 55 prévoit un modèle uniformisé de production de créance, utilisable dans toute langue officielle de l’Union, et un délai qui n’est « pas inférieur à trente jours » après la publication de l’ouverture au registre d’insolvabilité de cet État. Une telle créance serait, à notre lecture, chirographaire, c’est-à-dire payée seulement dans la mesure des actifs disponibles après les créanciers privilégiés. Les cryptos, elles, resteraient hors de la procédure, puisqu’elles ne sont pas détenues par la société.

II. Appareil piégé, faux remplacement, cryptos détournées : que faire et contre qui agir depuis la France ?

A. Ce que le fabricant a annoncé, et les gestes utiles dès maintenant

La chronologie publiée par l’entreprise est la suivante. Le 9 octobre 2026, elle a retiré son agrément à un revendeur, après qu’un autre fabricant de portefeuilles physiques eut enquêté sur des pertes de fonds subies par des clients de ce même intermédiaire et confirmé que certains appareils avaient été physiquement modifiés. Le 28 octobre, un client lui a signalé un implant dans un Safe 5 acheté en août 2026 sur une place de marché en ligne. Le 30 octobre, avant même d’avoir pu examiner l’appareil, elle a publié une alerte demandant aux personnes ayant acheté un de ses portefeuilles auprès de ce revendeur depuis mars 2026 de transférer leurs fonds vers un nouveau portefeuille doté d’une nouvelle sauvegarde, et de ne pas configurer un appareil encore inutilisé. Dans le message diffusé à cette occasion sur un réseau social, elle indiquait n’avoir trouvé aucune trace de modification sur les quatre appareils de ce revendeur qui lui étaient déjà parvenus.

Le billet du 12 novembre 2026 complète ce tableau. Selon l’entreprise, trois Safe 5 achetés auprès de ce revendeur entre le 20 août et le 23 septembre 2026, sur ses boutiques de places de marché ou directement auprès de lui, contenaient l’implant : l’un a été examiné en laboratoire, les deux autres ont été identifiés sur photographies, et quarante-huit clients de ce revendeur se sont manifestés. L’implant serait un circuit supplémentaire placé entre la carte principale et l’écran, qui copierait tout ce qui s’affiche, y compris les mots de sauvegarde et la phrase secrète complémentaire, puis le transmettrait par le réseau mobile à un serveur contrôlé par les auteurs, sans modifier le micrologiciel ni la puce sécurisée. Le micrologiciel 2.13.1, diffusé le 11 novembre, empêcherait les implants trouvés de capter quoi que ce soit, « making the current batch of implants useless », mais il ne protège pas une sauvegarde déjà captée : le transfert des fonds reste donc recommandé aux acheteurs concernés. L’entreprise ajoute que « None of their owners has lost funds », qu’aucun implant n’a été trouvé dans les appareils d’autres revendeurs ni dans d’autres modèles, et qu’elle a réduit d’environ 80 % son réseau de revendeurs, les partenaires restants devant suivre des règles beaucoup plus strictes sur l’approvisionnement, le stockage et l’accès aux appareils.

Plusieurs éléments jouent en faveur du fabricant et doivent être rappelés. Il a retiré le revendeur dès le 9 octobre, alerté ses clients avant toute confirmation en laboratoire, proposé à tout acheteur de ce revendeur depuis mars 2026 un nouvel appareil, un autre modèle avec remboursement de la différence ou un remboursement, publié une mise à jour de protection et annoncé une récompense pour le client qui a signalé l’implant. Il indique aussi qu’aucune perte de fonds ne lui a été signalée à ce jour et qu’il publiera, datée, toute évolution de l’enquête.

Pour un épargnant établi en France, la première question est donc celle de l’origine de l’appareil. Si votre facture désigne ce revendeur, ou si vous ne savez pas où l’appareil a été acheté, l’entreprise recommande de s’adresser à son assistance par son site officiel, de conserver l’appareil sans l’ouvrir ni le peser, une différence de poids n’étant selon elle ni un test fiable ni une preuve, et de transférer les fonds vers un portefeuille créé avec une nouvelle sauvegarde. Si votre appareil provient d’un autre circuit, l’entreprise déclare n’avoir aucun cas confirmé ; il reste utile d’installer le micrologiciel le plus récent, de ne jamais désactiver le contrôle d’authenticité effectué par l’application, qui vérifie les signatures de la puce sécurisée des modèles Safe, et, pour un prochain achat, de privilégier la boutique de la marque, comme celle-ci le recommande.

Le second risque est celui de l’arnaque qui exploite l’incident. L’entreprise indique que des escrocs se servent de cette affaire pour cibler les détenteurs de cryptos par de faux messages électroniques, des lettres et des appels, et qu’ils pourraient se présenter en son nom pour proposer un remplacement ou un remboursement. Sa page consacrée aux arnaques est catégorique : toute demande de sauvegarde, de code ou de mot de passe « is always a scam », et elle affirme ne jamais solliciter ses clients par SMS, WhatsApp, Telegram, appel ou courrier postal. Une offre de remplacement reçue par l’un de ces canaux, un lien vers un site imitant le sien ou une demande de vérification de la sauvegarde doivent donc être tenus pour suspects.

Le mécanisme rappelle celui des faux liquidateurs et faux avocats qui promettent de récupérer des fonds perdus. L’hameçonnage peut même partir d’un prestataire de l’entreprise, comme l’a montré l’incident survenu en septembre 2026 chez un prestataire d’envoi de messages électroniques, et les mêmes réflexes valent après le piratage d’une grande plateforme : ne rien saisir hors de l’appareil, ne répondre à aucune sollicitation entrante, vérifier l’adresse du site avant toute démarche.

Dans tous les cas, la preuve se prépare tout de suite : facture et confirmation de commande, nom exact du vendeur, photographies de l’emballage et du sceau, date de réception, appareil conservé en l’état, adresses publiques des portefeuilles, identifiants des transactions, captures d’écran des échanges et des pages du vendeur. Sans ces éléments, une action civile ou pénale serait difficile à soutenir, comme le montre la jurisprudence citée ci-dessous.

B. Qui répondrait d’une perte : le vendeur, le fabricant ou les auteurs, et dans quels délais

Le premier débiteur est le vendeur, qu’il s’agisse de la marque elle-même ou d’un revendeur. L’article L. 217-5 du code de la consommation exige que le bien présente les caractéristiques que le consommateur peut légitimement attendre, « y compris en termes de durabilité, de fonctionnalité, de compatibilité et de sécurité », compte tenu notamment des déclarations publiques faites par toute personne en amont dans la chaîne de transactions. Un portefeuille présenté comme un appareil de sécurité et livré avec un implant capable de capter les mots de sauvegarde pourrait, à notre lecture, être regardé comme non conforme, la présomption de vingt-quatre mois rappelée plus haut jouant si le défaut apparaît dans ce délai.

La garantie des vices cachés offre un second fondement. L’article 1641 du code civil dispose que « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine », et l’article 1645 ajoute que « Si le vendeur connaissait les vices de la chose, il est tenu, outre la restitution du prix qu’il en a reçu, de tous les dommages et intérêts envers l’acheteur ». La chambre commerciale de la Cour de cassation rappelle qu’il résulte de ce texte « une présomption irréfragable de connaissance par le vendeur professionnel du vice de la chose vendue, qui l’oblige à réparer l’intégralité de tous les dommages qui en sont la conséquence » (Cass. com., 5 juillet 2023, n° 22-11.621, § 9), à condition de vérifier que le vendeur se livre de façon habituelle à la vente de tels biens (Cass. com., 17 janvier 2024, n° 21-23.909, § 8). L’action doit être exercée, selon l’article 1648, « dans un délai de deux ans à compter de la découverte du vice », la même décision de 2024 précisant qu’elle ne peut dépasser le délai-butoir de vingt ans courant à compter de la vente.

Un revendeur professionnel de portefeuilles physiques serait donc, à notre lecture, tenu de réparer les conséquences d’un vice qu’il ignorait, y compris, si le lien de causalité est démontré, la perte de cryptos détournées au moyen de l’implant. Ce lien serait au cœur du débat : il faudrait établir que les mots de sauvegarde ont été captés par l’appareil vendu, et non obtenus autrement, par exemple par une photographie conservée dans un téléphone ou par une fausse assistance.

Encore faut-il chiffrer le préjudice. Dans un litige relatif à des cryptos détournées sur une plateforme, la cour d’appel de Grenoble a refusé une condamnation libellée en ether, s’agissant d’une demande formulée en « une monnaie n’ayant pas cours légal », et a jugé que la plus-value espérée au plus haut historique du cours « ne caractérise pas une perte de chance certaine » (CA Grenoble, 26 juin 2025, n° 24/02105). L’indemnisation, si elle était obtenue, se ferait donc en euros, sur une valeur à établir par pièces.

La difficulté tient souvent à l’identité et au lieu d’établissement du vendeur. Pour un revendeur établi hors de l’Union, qui ne dirigerait pas son activité vers la France, la Cour de cassation juge, selon les principes du droit international privé français, que le consommateur « domicilié en France à la date de l’acte introductif d’instance » ne peut être privé, par une clause attributive désignant une juridiction étrangère, du droit de saisir les juridictions françaises (Cass. 1re civ., 7 octobre 2026, n° 25-14.323, § 8). Obtenir une décision française ne garantit pas, en revanche, son exécution dans un pays tiers : c’est l’une des raisons pour lesquelles l’achat direct auprès de la marque, ou auprès d’un vendeur établi dans l’Union, simplifie l’éventuel recours.

Le fabricant peut-il être recherché directement ? L’article 1245 du code civil pose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime », un produit étant défectueux, selon l’article 1245-3, « lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre ». La Cour de cassation rappelle que, dans cette appréciation, « il doit être tenu compte de toutes les circonstances et notamment, de la présentation du produit et de l’usage qui peut en être raisonnablement attendu » (Cass. 1re civ., 9 décembre 2020, n° 19-17.724, § 8 et 10) ; pour un appareil vendu comme un outil de sécurité, l’attente légitime serait élevée.

Mais ce régime ne couvre, selon l’article 1245-1, que le dommage résultant d’une atteinte à la personne et le dommage supérieur à un seuil réglementaire « qui résulte d’une atteinte à un bien autre que le produit défectueux lui-même ». La décision de 2020 précise qu’il s’agit d’un dommage de plus de 500 euros causé à un autre bien « en provoquant sa destruction ou son altération » (Cass. 1re civ., 9 décembre 2020, n° 19-17.724, § 4). Le détournement de cryptos par un tiers, qui ne détruit ni n’altère les actifs mais les transfère, entre-t-il dans cette définition ? Nous n’avons trouvé aucune décision publiée qui le tranche.

Surtout, l’article 1245-10 exonère le producteur qui prouve que « le défaut ayant causé le dommage n’existait pas au moment où le produit a été mis en circulation par lui ou que ce défaut est né postérieurement ». Un implant ajouté en aval par des tiers, dans le circuit d’un revendeur, relèverait vraisemblablement de cette hypothèse, ce qui fragiliserait une action contre le fabricant pour ces appareils. Il appartiendrait en outre à l’acheteur, selon l’article 1245-8 du code civil, de prouver le dommage, le défaut et le lien de causalité entre les deux. Le fabricant ne pourrait pas, en revanche, écarter ce régime par contrat : l’article 1245-14 interdit les clauses « qui visent à écarter ou à limiter la responsabilité du fait des produits défectueux », ce que ses propres conditions d’utilisation reconnaissent pour les appareils obtenus auprès d’un tiers.

Les deux régimes peuvent se combiner. La Cour de cassation admet que la responsabilité du producteur soit recherchée sur le fondement des produits défectueux pour l’atteinte à la personne ou à un autre bien, et sur celui de la garantie des vices cachés « au titre notamment du dommage qui résulte d’une atteinte au produit qu’il a vendu » (Cass. 1re civ., 19 avril 2023, n° 21-23.726, § 10). Le coût de remplacement de l’appareil lui-même reste en revanche en dehors du régime des produits défectueux, l’article 1245-1 ne visant que l’atteinte à un bien autre que le produit défectueux.

Un changement se profile, sans effet sur les appareils déjà vendus. La directive (UE) 2024/2853 du 23 octobre 2024, qui abroge la directive de 1985 sur les produits défectueux, inclut les logiciels dans la notion de produit et ouvre réparation pour les dommages résultant de la « destruction ou de la corruption de données » non utilisées à des fins professionnelles. Elle ne s’applique toutefois qu’aux produits mis sur le marché ou mis en service « après le 9 décembre 2026 », date limite de sa transposition, l’ancienne directive continuant de régir les produits antérieurs. Un appareil acheté aujourd’hui resterait donc, à notre lecture, soumis aux articles 1245 et suivants du code civil dans leur rédaction actuelle.

Sur le plan pénal, plusieurs qualifications pourraient être envisagées contre les auteurs, sous réserve de l’appréciation du parquet et des juges. L’article 323-1 du code pénal réprime « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de trois ans d’emprisonnement et de 100 000 euros d’amende, peines aggravées en cas de suppression ou de modification de données. L’article 323-3 du même code vise en outre l’extraction, la détention ou la transmission frauduleuses des données contenues dans un tel système. L’article 323-3-1 punit l’importation, la détention, l’offre ou la cession, sans motif légitime, d’« un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 ».

La chambre criminelle a approuvé la condamnation de l’auteur d’un enregistreur de frappe matériel posé sur des ordinateurs pour capter des codes d’accès, en retenant qu’est punissable la personne qui, « sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données » ; la détention de l’équipement était également poursuivie (Cass. crim., 16 janvier 2018, n° 16-87.168). Un circuit qui copie l’écran d’un portefeuille pour transmettre des mots de sauvegarde présente, à notre lecture, une parenté avec ce dispositif. Quant aux faux services d’assistance qui obtiennent par ruse la remise de fonds ou de cryptos, ils relèveraient de l’escroquerie prévue par l’article 313-1 du code pénal, qui consiste notamment, par l’emploi de manœuvres frauduleuses, à tromper une personne pour la déterminer « à remettre des fonds, des valeurs ou un bien quelconque ».

La plainte peut être déposée auprès de tout service de police ou de gendarmerie : l’article 15-3 du code de procédure pénale dispose que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale ». Si le parquet fait savoir qu’il n’engagera pas de poursuites, ou à l’expiration d’un délai de trois mois après la plainte, l’article 85 du même code permet à la personne qui se prétend lésée de se constituer partie civile devant le juge d’instruction. Nous détaillons ces étapes dans notre article sur la plainte contre une plateforme en difficulté.

Avant tout procès, l’article 145 du code de procédure civile permet d’obtenir des mesures d’instruction « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige ». Le juge des référés de Paris l’a admis au profit d’un acheteur qui se disait victime d’une escroquerie après avoir transféré des cryptos depuis son portefeuille personnel, en relevant que « le dépôt d’une plainte ne caractérise pas un procès au fond » et qu’il existait « un procès pénal en germe », et il a ordonné à la plateforme d’annonces de communiquer les données permettant d’identifier l’auteur de l’annonce (TJ Paris, réf., 21 mai 2026, n° 26/50990). Le même tribunal a rejeté une demande comparable faute de pièces : le tableau de traçage produit provenait d’une source « dont la fiabilité n’est pas démontrée » et se révélait « inexploitable car illisible » (TJ Paris, réf., 20 janvier 2026, n° 25/57649).

Lorsque l’auteur reste introuvable, la commission d’indemnisation des victimes d’infractions peut, sous conditions, accorder une indemnité plafonnée. L’article 706-14 du code de procédure pénale vise notamment la victime d’une escroquerie ou « d’une atteinte aux systèmes de traitement automatisé de données » qui « ne peut obtenir à un titre quelconque une réparation ou une indemnisation effective et suffisante de son préjudice », se trouve de ce fait dans une situation matérielle ou psychologique grave et dispose de ressources inférieures au plafond de l’aide juridictionnelle partielle. La faute de la victime pèse cependant lourd : le 5 novembre 2026, la Cour de cassation a approuvé le refus de toute indemnité opposé à une personne qui avait cliqué sur le lien d’un message électronique imitant un organisme public et renseigné ses identifiants et ses données de carte, la réparation pouvant « être refusée ou son montant réduit en raison de la faute de la victime » (Cass. 2e civ., 5 novembre 2026, n° 25-12.778, § 4 et 8). Communiquer ses mots de sauvegarde à une fausse assistance exposerait, à notre lecture, au même risque.

Posséder un portefeuille physique peut même être retenu à l’encontre de son propriétaire. Dans un litige l’opposant à une plateforme, le tribunal judiciaire de Paris a relevé la détention par le client d’un « dispositif de conservation physique des cryptoactifs » parmi les éléments montrant qu’il comprenait les risques de l’opération, et l’a débouté de ses demandes (TJ Paris, 18 septembre 2024, n° 23/13786).

Les délais diffèrent selon le fondement. L’action fondée sur la garantie légale de conformité suit la prescription de droit commun de l’article 2224 du code civil, selon lequel les actions personnelles ou mobilières « se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». L’action en responsabilité du fait des produits défectueux se prescrit, selon l’article 1245-16 du même code, par trois ans à compter du jour où le demandeur a eu ou aurait dû avoir connaissance du dommage, du défaut et de l’identité du producteur ; sauf faute de celui-ci, sa responsabilité s’éteint en outre dix ans après la mise en circulation du produit, en vertu de l’article 1245-15.

Si plusieurs acheteurs d’un même revendeur subissent des pertes, une démarche coordonnée peut réduire les coûts ; nous en présentons les voies dans notre article sur les actions communes entre épargnants. Les cryptos détournées posent enfin des questions fiscales distinctes, abordées à propos de la déclaration des cryptomonnaies volées. Les décisions à prendre par les professionnels de la distribution face à des stocks suspects font l’objet de notre analyse consacrée aux revendeurs et aux entreprises clientes de portefeuilles compromis, et les autres questions juridiques liées aux cryptoactifs sont présentées sur notre page consacrée aux litiges en crypto-actifs à Paris.

Conclusion

Trezor est-il fiable en cas de faillite ? Sur la question qui inquiète le plus, la réponse est plutôt rassurante : les cryptos ne sont pas conservées par le fabricant, qui affirme lui-même que ni les fonds ni les clés ne disparaîtraient s’il cessait ses activités, grâce à des standards ouverts et à un code publié. Ce qui dépend de lui, ce sont l’appareil, ses mises à jour, l’assistance et la garantie. Un acheteur conserve sur ces points des droits contre son vendeur, renforcés par le droit français de la consommation lorsque celui-ci s’applique, et une créance contre une société tchèque devenue insolvable se produirait dans la procédure ouverte en République tchèque, sans garantie de paiement.

L’affaire révélée en octobre montre que le risque principal se situe dans la chaîne de distribution et dans la conservation des mots de sauvegarde. Selon le fabricant, l’implant n’a été trouvé que dans trois Safe 5 vendus par un seul ancien revendeur, sans perte de fonds connue, et une mise à jour du 11 novembre neutraliserait les implants identifiés. Les acheteurs concernés doivent néanmoins transférer leurs fonds vers un portefeuille doté d’une nouvelle sauvegarde ; les autres ont intérêt à mettre leur appareil à jour, à laisser actif le contrôle d’authenticité, à acheter auprès de la marque et à ignorer toute offre de remplacement reçue par message, appel ou courrier.

En cas de perte, le vendeur est le premier interlocuteur, au titre de la garantie de conformité et des vices cachés, avec une présomption de connaissance du vice qui pèse sur le vendeur professionnel. Une action contre le fabricant au titre des produits défectueux se heurterait, pour un implant ajouté en aval, à l’exonération prévue lorsque le défaut est né après la mise en circulation, et la notion de dommage aux biens reste incertaine pour des cryptos détournées. La plainte, les mesures d’identification avant procès et, à défaut, la commission d’indemnisation complètent ces voies, à condition que la preuve ait été réunie tôt et que la victime n’ait pas elle-même livré ses mots de sauvegarde.

Plusieurs éléments plaident en faveur du fabricant : retrait du revendeur dès le 9 octobre, alerte publiée avant toute confirmation, remplacement proposé, mise à jour de protection, réseau de revendeurs resserré et code ouvert. Ces constats appellent les mêmes réserves qu’en ouverture : à la date de rédaction, aucune perte de fonds n’est signalée selon l’entreprise, nous n’avons trouvé ni décision de justice ni mesure d’une autorité la visant, aucune responsabilité n’est établie, les contrats effectivement conclus priment sur toute analyse générale, et seul un juge pourrait trancher un litige particulier. Les qualifications proposées ici, qu’il s’agisse de la conformité d’un appareil piégé, de la portée des clauses ou de la loi applicable, restent des analyses à notre lecture, susceptibles d’évoluer avec les prochaines annonces de l’entreprise et les décisions à venir.