Crypto : La fuite de données Trezor s’étend à 67 000 clients supplémentaires

La fuite de données touchant les clients de Trezor est beaucoup plus importante qu’annoncé. Le fabricant de hardware wallets révèle que 67 000 clients américains supplémentaires ont vu leurs informations personnelles exposées chez son prestataire logistique ShipMonk. Noms, e-mails, téléphones, adresses de livraison et numéros de commande sont concernés. Les clés privées, elles, n’ont pas été compromises.

Crypto : 67 000 nouveaux clients touchés

Trezor avait initialement annoncé en août que 13 689 clients étaient concernés. La découverte de 67 000 victimes supplémentaires porte désormais l’incident à plus de 80 000 personnes.

Cette nouvelle fuite intervient alors que les failles touchant les hardware wallets ont déjà relancé le débat sur la sécurité de la self-custody.

Les nouvelles données concernent des clients américains ayant commandé des produits Trezor entre novembre 2019 et août 2021.

C’est là que l’affaire devient embarrassante.

Trezor affirme avoir demandé à plusieurs reprises à ShipMonk de supprimer ces anciennes informations et avoir reçu des confirmations écrites indiquant que cela avait été fait. Sa politique impose normalement aux partenaires logistiques de supprimer ou anonymiser les données de commande après 90 jours.

Dans sa mise à jour officielle, Trezor reconnaît désormais que ces données étaient toujours présentes dans les systèmes de ShipMonk.

Les bitcoins restent en sécurité

Le hardware wallet lui-même n’a pas été piraté.

Les systèmes de Trezor, les appareils, les clés privées et les phrases de récupération n’ont pas été exposés. Un pirate ne peut donc pas utiliser directement cette base de données pour déplacer les bitcoins d’un utilisateur.

Le risque passe ailleurs : l’ingénierie sociale.

Avec le nom, l’adresse, le téléphone et même le numéro d’une véritable commande Trezor, un escroc peut fabriquer un message particulièrement crédible. Faux e-mail de sécurité, appel téléphonique, courrier postal ou faux support technique : il ne manque ensuite qu’une erreur de la victime.

Ce scénario rejoint les campagnes de malwares et de phishing qui ciblent déjà les wallets et comptes d’exchange.

Trezor rappelle une règle simple : aucune personne travaillant pour l’entreprise ne demandera la phrase de récupération d’un wallet. Elle ne doit jamais être saisie sur un site reçu par e-mail ou communiquée à un prétendu support.

L’adresse physique devient le vrai problème

Une adresse e-mail exposée est gênante. Une adresse physique associée à l’achat d’un hardware wallet est autrement plus sensible.

Elle peut indiquer qu’une personne possède potentiellement des cryptomonnaies et fournir directement son lieu de résidence. Trezor reconnaît d’ailleurs un possible risque pour la sécurité physique des clients concernés.

L’entreprise prépare désormais un système baptisé « Anonymous Delivery ». Il doit proposer notamment retrait en consigne, emballage neutre, expéditeur générique et suppression automatique des identifiants de livraison après réception. Le lancement est prévu en Europe en septembre et aux États-Unis d’ici fin 2026.

L’incident rappelle surtout que la self-custody ne dépend pas uniquement de la solidité cryptographique d’un wallet. Les campagnes de phishing deviennent suffisamment sophistiquées pour exploiter les services légitimes et les données personnelles.

Les bitcoins des clients Trezor n’ont pas été volés. Leur anonymat, en revanche, vient de prendre un sérieux coup.