Trezor indique que 67 000 clients américains supplémentaires ont vu leurs données compromises chez son prestataire logistique, portant à plus de 80 000 le nombre total de clients concernés.
Points clés :
- 67 000 clients américains de plus ont vu l’intégralité de leurs informations de commande exposées, portant le total connu à plus de 80 000.
- Les nouveaux enregistrements identifiés couvrent la période de novembre 2019 à août 2021.
- Trezor affirme que ses systèmes, ses appareils, les clés privées et les sauvegardes de portefeuilles n’ont pas été compromis.
Une fuite de données Trezor plus vaste que prévu
Dans une mise à jour publiée le 4 septembre, Trezor a annoncé que 67 000 clients américains supplémentaires étaient affectés, avec des données liées à des commandes passées entre novembre 2019 et août 2021.
Les informations exposées comprennent noms, adresses e‑mail, numéros de téléphone, adresses postales et numéros de commande. Tous les nouveaux clients concernés ont été avertis par e‑mail.
ShipMonk, prestataire logistique de Trezor, avait conservé ces enregistrements alors même que Trezor affirme avoir demandé à plusieurs reprises leur suppression, et avoir reçu des confirmations écrites attestant de l’effacement des données conformément au contrat et à sa politique de protection des données. « Nous sommes profondément déçus que, malgré cette confirmation, les données n’aient pas été supprimées de leurs systèmes », a déclaré Trezor.
Ce nouvel épisode porte le total connu de clients affectés à plus de 80 000. Dans son avis d’août, Trezor évoquait 11 742 clients dont les noms, e‑mails, numéros de téléphone et adresses de livraison avaient été exposés, tandis que 1 947 autres voyaient des informations plus limitées compromises.
À lire aussi : Le Bitcoin signe son meilleur mois depuis 2024, mais Fidelity refuse d’y voir un point bas
Risques accrus pour la sécurité crypto
Trezor souligne que ses propres systèmes n’ont pas été piratés : ni clés privées, ni sauvegardes de portefeuilles, ni secrets matériels de ses appareils n’ont été exposés. Le fabricant assure que ses porte‑monnaie matériels restent sécurisés.
Le risque majeur vient de la fuite de données clients, qui fournit aux attaquants une base pour identifier les détenteurs de hardware wallets et monter des arnaques très ciblées, reposant sur des informations apparemment légitimes.
Trezor prévient les utilisateurs concernés qu’ils doivent s’attendre à des e‑mails frauduleux, des appels téléphoniques d’hameçonnage, voire des courriers physiques, et insiste aussi sur les menaces potentielles pour la sécurité des personnes. Le problème dépasse ainsi le cadre classique de la compromission d’un simple compte en ligne.
La société de cybersécurité TRM Labs rappelle que l’auto‑garde ne supprime pas le risque, mais le déplace sur d’autres maillons de la chaîne de sécurité. Dans ce cas, le wallet lui‑même peut rester inviolé alors que les données logistiques exposent l’identité, les coordonnées et l’adresse personnelle du détenteur.
L’incident a été révélé pour la première fois le 13 août, quand Trezor a indiqué que la faille chez ShipMonk touchait environ 13 689 clients et semblait, dans un premier temps, concerner surtout des commandes récentes soumises à une politique de conservation sur 90 jours.
La découverte ultérieure d’enregistrements remontant à 2019 montre que des données de clients plus anciennes sont restées dans les systèmes de ShipMonk malgré les exigences de suppression formulées par Trezor.
