Trezor, fabricant de portefeuilles matériels pour cryptomonnaies, a annoncé le 13 août que les données de 13 689 clients avaient été exposées après le piratage de ShipMonk, son prestataire d’expédition. Les systèmes de Trezor, ses appareils, les clés privées et les phrases de récupération ne sont pas concernés, selon l’entreprise.
Quelles données ont fuité
| Exposition | Clients | Données |
|---|---|---|
| Complète | 11 742 | nom, adresse e-mail, téléphone, adresse de livraison, numéro de commande |
| Partielle | 1 947 | nom, ville, adresse e-mail |
Sont concernés les clients dont la commande a été reçue entre le 10 mai et le 8 août 2026, aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal. Le contenu des colis n’est pas exposé. Trezor a écrit directement à chaque client touché : si vous n’avez pas reçu d’e-mail de sa part au sujet de cet incident, vous n’êtes pas concerné, d’après l’entreprise.
Comment ShipMonk a été touché
ShipMonk a prévenu Trezor le lundi 10 août d’un accès non autorisé à des systèmes contenant des données clients. D’après les e-mails de ShipMonk consultés par BleepingComputer, les attaquants ont exploité une faille de Metabase, la plateforme d’analyse de données utilisée par le logisticien. Il s’agit vraisemblablement de l’injection SQL zero-day corrigée par Metabase le 6 août, qui a déjà touché le fabricant de PC Framework et Tally. BleepingComputer rapporte aussi que ShipMonk a reçu des e-mails d’extorsion signés ShinyHunters, une revendication qui n’a pas été confirmée par l’entreprise.
Pourquoi c’est plus grave qu’une fuite d’adresses ordinaire
Une liste de clients d’un fabricant de portefeuilles crypto, c’est une liste de personnes qui possèdent probablement des cryptomonnaies, avec leur adresse postale. Le risque est double :
- Hameçonnage ciblé : faux e-mails, appels ou courriers se faisant passer pour Trezor, une plateforme d’échange ou une banque, pour pousser la victime à « vérifier » son portefeuille.
- Risque physique : l’adresse de domicile d’un détenteur de crypto intéresse aussi des criminels hors ligne.
Trezor a un précédent : en janvier 2024, une fuite chez son prestataire de support avait exposé environ 66 000 utilisateurs, dont les données avaient ensuite servi à des tentatives d’hameçonnage visant à obtenir leur phrase de récupération.
Trezor ne vous demandera jamais votre phrase de récupération (seed). Ne la saisissez sur aucun site et ne la communiquez à personne, quel que soit le prétexte : support, mise à jour de sécurité, « vérification » après la fuite.
Que faire si vous êtes client Trezor
- Méfiez-vous de tout message qui exige une action immédiate ou vous demande des informations personnelles, par e-mail, téléphone ou courrier postal.
- Vérifiez toute annonce sur le blog et les réseaux sociaux officiels de Trezor avant d’agir.
- Pour vos prochaines commandes, Trezor suggère une adresse e-mail dédiée et, si possible, une boîte postale plutôt que votre domicile.