Une faille de sécurité chez ShipMonk, prestataire logistique de Trezor, a conduit à l’exposition de données personnelles de commande concernant 13 689 clients du fabricant de portefeuilles matériels, a indiqué l’entreprise jeudi.
Points clés :
- ShipMonk, partenaire logistique de Trezor, a été victime d’une intrusion, exposant noms, adresses postales, numéros de téléphone et e‑mails.
- Les données complètes de 11 742 clients ont été dérobées, et des informations partielles concernant 1 947 autres personnes ont fuité.
- Trezor affirme que ses systèmes, ses appareils, les clés privées et les sauvegardes de portefeuilles n’ont pas été touchés.
La faille ShipMonk expose les données de commande Trezor
ShipMonk a informé Trezor le 10 août qu’un acteur non autorisé avait accédé à des systèmes internes contenant des historiques de commande, a révélé le fabricant de wallets dans une note d’information publiée jeudi.
Au total, 11 742 clients se sont vu dérober leurs noms, numéros de téléphone, adresses e‑mail et adresses de livraison, tandis que 1 947 autres ont vu leurs noms, villes et e‑mails exposés. Les personnes concernées avaient passé des commandes entre le 10 mai et le 8 août, expédiées vers les États‑Unis, le Royaume‑Uni, la Suède, la Colombie, le Brésil, l’Italie ou le Portugal, selon les données de suivi des expéditions.
Trezor assure que ses propres systèmes n’ont pas été compromis et qu’aucun appareil, aucune clé privée ni sauvegarde de wallet n’a été altéré. L’enquête se poursuit. Une règle de suppression des données sous 90 jours, imposée aux prestataires logistiques, a permis de soustraire aux pirates les commandes plus anciennes, et les clients n’ayant reçu aucun e‑mail de notification ne seraient pas concernés par la fuite.
À lire aussi : Quatre traders parient 343 M$ contre le Bitcoin, et l’un d’eux a déjà capitulé
Risque de phishing, dans le sillage du précédent Ledger
Le danger immédiat porte sur la fraude, plus que sur un détournement direct des fonds conservés sur les appareils.
Les escrocs peuvent exploiter ces données pour se faire passer pour des banques, des plateformes d’échange ou Trezor lui‑même, via e‑mails, appels téléphoniques ou courriers papier, a prévenu l’entreprise. Elle appelle les clients à se méfier de tout message exigeant une action urgente et à vérifier systématiquement les informations via les canaux officiels. En aucun cas une sauvegarde de portefeuille ne doit être saisie sur un site web.
Le rival Ledger a servi de précédent en 2020, lorsqu’environ 272 000 de ses clients ont vu leurs noms, adresses et numéros de téléphone publiés en ligne, certains recevant ensuite des demandes de rançon par e‑mail. CertiK a par ailleurs recensé 52 attaques physiques ciblant des détenteurs de cryptos au premier semestre 2026, contre 39 un an plus tôt, tandis que Chainalysis chiffre à plus de 30 millions de dollars les montants dérobés dans ce type d’agressions.
Historique des incidents Trezor et impact pour les wallets
Il s’agit du premier incident, depuis la création de Trezor en 2013, exposant à la fois numéros de téléphone et adresses de livraison de clients. Les précédents cas étaient plus limités, notamment une compromission en 2024 d’un portail de support tiers qui avait révélé les noms et adresses e‑mail d’environ 66 000 utilisateurs.
Aucun fonds client n’avait été perdu lors de cet épisode. La société recommande désormais aux acheteurs de réduire leur surface d’exposition en recourant à des adresses e‑mail anonymes, en payant en cryptomonnaies ou en choisissant la livraison vers une boîte postale.
La communication de Trezor intervient également alors que le marché digère encore les conséquences d’une faille de firmware sur les appareils Coldcard, précédant la sortie d’environ 233 000 Bitcoin (BTC) de portefeuilles de long terme. Une partie de ces fonds aurait été déplacée par des utilisateurs de Trezor et Ledger vers des solutions de stockage multi‑signatures, selon Casa.
Trezor prévoit désormais une option de livraison anonyme, reposant sur des points relais (lockers) et un emballage neutre, avec un lancement ciblé dans l’Union européenne d’ici septembre 2026, puis aux États‑Unis d’ici la fin de l’année.
À suivre : La pression vendeuse sur XRP retombe à 0,86, son plus bas depuis mai
