Tropic Square développe TROPIC01, une puce destinée à protéger des données sensibles et à effectuer des opérations cryptographiques. L’entreprise conçoit les puces sans posséder sa propre usine de semi-conducteurs. En publiant des éléments de conception et la documentation, elle veut permettre des recherches indépendantes sur leur sécurité. La puce n’est pas un portefeuille complet, et son ouverture ne garantit pas qu’un appareil soit invulnérable.
Quand on tient un portefeuille matériel, on voit son boîtier, son écran et ses boutons. À l’intérieur, différents composants remplissent des fonctions distinctes. Tropic Square développe la puce de sécurité TROPIC01 ; une autre entreprise construit le portefeuille qui l’utilise. Tropic Square est une société fabless : elle conçoit les puces et fait réaliser leur fabrication ailleurs. Le 6 octobre 2025, elle a annoncé la pleine production et une distribution mondiale. Il s’agissait d’une étape industrielle, pas d’une promesse de disponibilité permanente de toutes les variantes. [1]
Un spécialiste qui souhaite vérifier le comportement d’un composant a besoin de plus qu’une promesse de sécurité du fabricant. Le dépôt TROPIC01 fournit du RTL, la description des circuits logiques sous forme de code source, du firmware, c’est-à-dire le programme de la puce, et son architecture de sécurité. Il décrit le cœur RISC-V qui exécute les instructions et SPECT, un coprocesseur spécialisé dans les calculs cryptographiques. Ces documents rendent l’examen possible ; leur publication n’est pas, à elle seule, le résultat d’un audit de sécurité réussi. [2]
Imaginons une chercheuse qui examine la puce d’un appareil donné. Il lui faut les documents correspondant à ce composant et à son firmware. Sur GitHub, Tropic Square précise que les dépôts publics peuvent ne pas correspondre exactement aux produits livrés : des publications peuvent tarder et les droits de tiers limitent certains contenus. L’ouverture ne se résume donc pas à une étiquette. Une évaluation pertinente relie la référence de la puce, la version du programme et la documentation adaptée. [3]
Entre un plan sur internet et un composant dans une boîte interviennent la fabrication et la préparation initiale. Le partenariat avec EPS Global annoncé en février 2025 couvre la programmation sécurisée, la préparation des puces et leur distribution. Il comprend une PKI, infrastructure à clés publiques : des justificatifs cryptographiques et des vérifications permettant d’authentifier la puce. Cela renseigne sur son origine. Ce mécanisme ne prouve pas à lui seul que la conception est sans défaut ni que le fabricant du portefeuille a correctement intégré le composant. [4]
Derrière les documents techniques, les personnes et leurs responsabilités évoluent. Le 12 mai 2026, Tropic Square a annoncé que son cofondateur Jan Pleskač quittait le poste de CEO, directeur général, tout en restant associé. Ladislav Veselý devait assurer l’intérim. Détenir une part de l’entreprise et la diriger au quotidien sont deux rôles différents. Une ancienne interview présentant Pleskač comme directeur décrit donc une période précise ; elle ne suffit pas à établir la direction actuelle sans vérification supplémentaire. [5]
Le 3 juin 2026, l’entreprise a décrit une découverte de Ledger Donjon : des perturbations provoquées au laser permettaient de contourner la vérification du firmware de TROPIC01. Il s’agit du programme dont la puce doit vérifier l’authenticité avant de l’exécuter. L’attaque nécessitait un accès physique, une expertise et un laboratoire spécialisé ; ce n’était pas une attaque distante ordinaire par internet. La publication recommandait de désactiver le mode maintenance. Cela complique l’attaque sans la supprimer. Réduire un risque ne signifie donc pas corriger entièrement une vulnérabilité. [6]
Les conséquences dépendent aussi de l’appareil qui utilise le composant. Trezor explique que, dans Trezor Safe 7, TROPIC01 protège une partie des secrets servant à protéger le PIN, le code personnel d’accès. Selon le fabricant, ni le PIN lui-même ni la sauvegarde du portefeuille ne sont stockés dans cette puce, et d’autres couches de protection interviennent. Une attaque contre ce composant ne démontre donc pas automatiquement une compromission du portefeuille complet. Ces protections supplémentaires ne rendent pas non plus l’appareil invulnérable. [7]
Tropic Square décrit la CVD, divulgation coordonnée des vulnérabilités : chercheurs et fabricant se concertent pour vérifier le problème, y remédier et informer le public. L’entreprise publie des alertes de sécurité, des errata, c’est-à-dire des listes de défauts et de limites connus, ainsi que des rapports d’évaluation. Ses règles de recherche sur la puce ne remplacent pas celles du fabricant de l’appareil final. Pour le lecteur, l’essentiel est de suivre la version précise, le problème publié et la correction effectivement disponible. Ces détails donnent un sens concret à l’ouverture. [8]
Pour une vision complète, lisez aussi Jan Pleskač, TROPIC01, SatoshiLabs, Secure Element. Cette entrée est également citée par Trezor, Marek « Slush » Palatinus, Secure Element, Jan Pleskač.