Le fabricant tchèque de crypto wallets matériels Trezor a confirmé jeudi qu’une brèche de sécurité chez son partenaire logistique ShipMonk avait compromis les données personnelles de près de 14 000 clients, répartis entre les États-Unis, le Royaume-Uni, la Suède, le Brésil, la Colombie, l’Italie et le Portugal. Noms, adresses e-mail, numéros de téléphone et adresses postales de 11 742 acheteurs ont été aspirés lors d’un accès non autorisé aux systèmes du prestataire. Un second lot, concernant 1 947 personnes supplémentaires, a vu fuiter noms, villes et adresses électroniques.
« Nous avons des nouvelles difficiles à partager », a sobrement écrit Trezor sur X. « L’un de nos prestataires d’expédition a subi une violation de données qui a exposé des informations sensibles liées aux commandes. » La formule, volontairement laconique, dissimule une réalité plus embarrassante pour une entreprise dont la raison d’être est précisément la sécurité.
Aucune clé privée, aucune seed phrase, aucun actif numérique n’ont été touchés, et les systèmes internes de Trezor ainsi que le firmware de ses appareils restent parfaitement intacts. Le danger est donc indirect, ce qui ne le rend pas moins pernicieux. Les données logistiques volées constituent un terreau fertile pour des campagnes de phishing ciblé, où des escrocs se font passer pour des banques, des plateformes d’échange ou Trezor elle-même afin de soutirer aux victimes leurs précieuses phrases de récupération. Des précédents chez le concurrent Ledger, dont la fuite massive de 2020 avait touché près de 300 000 utilisateurs, ont engendré des vagues d’hameçonnage et même l’envoi de faux appareils physiques aux domiciles des victimes… un an après la brèche initiale.
Trezor affirme n’avoir encore détecté aucune publication, revente ou exploitation confirmée des données dérobées. Les clients ayant commandé via Amazon ne sont pas concernés, ces commandes étant traitées par un prestataire distinct. L’entreprise a déjà notifié individuellement chaque personne affectée par e-mail, précisant que l’absence de notification vaut absence de compromission.
A lire également
Le contexte global rend toutefois la situation plus préoccupante qu’il n’y paraît. Selon la firme de cybersécurité SentinelOne, les violations de données ont bondi de 17 % en 2026 par rapport à l’année précédente, avec une moyenne de 2 090 attaques hebdomadaires dans le monde et une progression mensuelle de 3 % depuis janvier. DeepStrike estime les pertes liées aux fuites de données à plusieurs dizaines de milliards de dollars par an. Pour les détenteurs de cryptomonnaies, le risque dépasse désormais largement l’écran, puisque Certik évalue à 124 millions de dollars les extorsions physiques subies par des propriétaires de crypto au premier semestre 2026, dont certaines facilitées par des adresses postales récupérées dans des bases volées. Des maîtres chanteurs ont notamment exigé entre 700 et 1 000 dollars de rançon en exploitant ce type d’informations.
Satoshi Labs, la société mère de Trezor, n’en est d’ailleurs pas à son premier épisode embarrassant avec des tiers. Un portail de support externe avait été compromis en janvier 2024, affectant 66 000 personnes, et une autre fuite avait touché plus de 106 000 clients en avril 2022. La cryptographie embarquée dans les appareils Trezor n’a, en revanche, jamais été percée à distance pour dérober des fonds, un point que l’entreprise ne manque pas de souligner.
Pour les détenteurs de wallets Trezor potentiellement concernés, quelques réflexes élémentaires s’imposent. Ne jamais saisir sa seed phrase (les 12 ou 24 mots de récupération) en réponse à un e-mail, un SMS ou un appel téléphonique, quelle que soit l’apparence de légitimité du message. Activer l’authentification à deux facteurs sur tous les comptes liés à ses activités crypto. Traiter avec une suspicion redoublée tout courrier postal ou colis inattendu prétendument envoyé par Trezor. Et garder à l’esprit qu’une fois des données logistiques dans la nature, les cybercriminels les recyclent pendant des années pour alimenter de nouvelles arnaques.
Le coût estimé pour un fabricant de hardware confronté à une fuite de cette ampleur dépasse les 33 millions de dollars en frais juridiques, remédiation et dégâts réputationnels. Trezor paie aujourd’hui le prix d’une dépendance à un maillon logistique qu’elle ne contrôlait pas, rappelant que dans l’écosystème crypto, la sécurité d’une chaîne se mesure toujours à celle de son segment le plus fragile.
