Une violation de données chez l'un des fournisseurs d'expédition de Trezor a exposé les noms, numéros de téléphone, adresses e-mail et adresses de domicile de milliers de clients du fabricant de portefeuilles matériels, a annoncé la société jeudi.

ShipMonk, qui stocke et expédie les produits de Trezor, a informé la société lundi qu'une partie non autorisée avait accédé à des systèmes contenant des données clients. Les détails complets de 11 742 clients ont été dérobés et les noms, villes et adresses e-mail de 1 947 autres ont été exposés, soit un total de 13 689. Les personnes concernées avaient passé des commandes entre le 10 mai et le 8 août et les avaient fait expédier aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie ou au Portugal.

Trezor a déclaré que ses propres systèmes n'avaient pas été compromis et qu'aucun appareil, clé privée ou sauvegarde de portefeuille n'avait été touché. Elle a attribué la portée limitée à une politique exigeant que les partenaires suppriment ou anonymisent les données de commande 90 jours après la livraison, ce qui signifie que les commandes plus anciennes n'étaient plus conservées. Les clients qui n'ont pas reçu d'e-mail de notification ne sont pas concernés, a-t-elle précisé. En 13 ans, a ajouté la société, elle n'avait jamais auparavant subi une violation exposant les numéros de téléphone et les adresses de livraison de ses clients.

Hameçonnage et « attaques physiques »

L'avertissement de Trezor concerne le hameçonnage, et il conseille aux clients de traiter tout contact inattendu avec suspicion et de ne jamais saisir une sauvegarde de portefeuille en ligne. Le précédent de 2020 chez son rival Ledger suggère que le risque va au-delà des e-mails frauduleux.

Après que les noms, adresses et numéros de téléphone d'environ 272 000 clients Ledger aient été publiés, certains ont commencé à recevoir des demandes de rançon menaçant de violence. L'un d'eux a déclaré à Decrypt qu'il recevait plusieurs e-mails et SMS par jour, tandis que d'autres ont ensuite signalé avoir reçu des appels d'hameçonnage de personnes qui parlaient comme si elles les connaissaient.

Ces menaces sont désormais plus nombreuses, CertiK ayant vérifié 52 attaques physiques contre des détenteurs de cryptomonnaies dans le monde au premier semestre 2026, contre 39 un an plus tôt, et les invasions de domicile dépassant les enlèvements comme méthode la plus courante. Chainalysis a estimé la somme volée à plus de 30 millions de dollars sur la même période et a déclaré que l'année était en passe d'être la pire jamais enregistrée.

Ce n'est pas le premier incident de ce type à frapper la chaîne de fournisseurs de portefeuilles matériels. Ledger a divulgué une faille chez son propre partenaire e-commerce, Global-e, en janvier, et les entreprises de portefeuilles matériels ont mis en garde contre une recrudescence du hameçonnage ce mois-ci, alors que les pertes dues à l'exploit Coldcard approchaient les 130 millions de dollars.

Cette nouvelle arrive alors que les utilisateurs de portefeuilles matériels ont été ébranlés par le récent exploit Coldcard. Une partie des 233 000 BTC qui ont quitté les portefeuilles de détenteurs à long terme autour de la faille Coldcard, d'une valeur d'environ 15 milliards de dollars, provenait de propriétaires Ledger et Trezor plutôt que de clients Coldcard, se déplaçant vers des configurations multi-signatures après avoir vu l'exploit se dérouler, selon Casa.

Trezor a déclaré qu'elle mettrait en place une option de livraison anonyme utilisant la collecte en consigne, un emballage neutre, des détails d'expéditeur génériques et la suppression automatique des identifiants d'expédition, ciblant l'Union européenne d'ici septembre et les États-Unis d'ici la fin de l'année.