Trezor : fuite de données de 13 689 clients via ShipMonk

Trezor annonce qu’une violation de données chez son prestataire logistique ShipMonk a exposé les informations personnelles de 13 689 clients. La faille concerne les commandes livrées entre le 10 mai et le 8 août 2026 dans 7 pays. Les portefeuilles matériels et les fonds des utilisateurs ne sont pas touchés, selon l’annonce publiée mercredi.

Au programme

• Plus de 11 700 adresses postales et numéros de téléphone fuités via ShipMonk
• 30 millions de dollars volés dans des attaques physiques liées aux cryptos au premier semestre 2026
• 7 pays concernés : États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie, Portugal

Quelles données ont été compromises exactement ?

La brèche se divise en deux catégories. D’après les précisions de l’entreprise, 11 742 clients ont vu fuiter leur nom, adresse e-mail, numéro de téléphone et adresse postale complète. Les 1 947 autres ont perdu leur nom, leur ville et leur adresse e-mail uniquement. Les personnes concernées résident aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal.

« C’est la première fois depuis la création de Trezor en 2013 que nous subissons une violation exposant des numéros de téléphone et des adresses d’expédition », déclare l’entreprise.

ShipMonk détient pourtant une certification SOC 2 Type II. Cette norme d’audit de sécurité n’a pas empêché l’intrusion. Les clients touchés ont reçu un e-mail d’alerte depuis help@trezor.io. Cette notification confirme leur exposition, contrairement aux précédents incidents recensés chez 3Commas, qui a mis des mois à reconnaître la fuite de clés API. La surveillance reste néanmoins de mise : les hacks de Ledger et Trezor, souvent confondus avec de simples arnaques, montrent que la vérification des alertes officielles demeure essentielle.

Pourquoi cette fuite est-elle plus dangereuse qu’un simple spam ?

Une adresse postale associée à un téléphone transforme une nuisance en risque physique. Les attaquants disposent de quoi cibler précisément des détenteurs de crypto. Le scénario n’est pas théorique : au premier semestre 2026, Chainalysis recense plus de 30 millions de dollars volés lors d’attaques violentes liées aux cryptomonnaies. Le rythme dépasse le total de 58 millions constaté sur l’ensemble de 2025. Cette dynamique inquiète les acteurs du secteur, au moment même où les sociétés comme Datanomy, la base de données crypto développée par Goldman Sachs, centralisent toujours plus d’informations sensibles.

La mécanique de l’exploitation est connue. Les pirates envoient de faux e-mails, passent de faux appels, expédient de fausses lettres. Ils se font passer pour Trezor, une banque ou un exchange. Le but reste identique : soutirer la phrase de récupération du portefeuille. Les précédents chez Ledger illustrent cette persistance. En 2020, une fuite massive de 270 000 données clients a alimenté des campagnes d’hameçonnage pendant six ans. Plus récemment, l’attaque de phishing visant les utilisateurs Trezor après une fuite de données a confirmé l’ampleur de la menace. Ces épisodes rappellent les vulnérabilités observées chez d’autres acteurs, comme les avoirs en crypto des clients de PayPal, qui attirent mécaniquement l’attention des fraudeurs.

Les adresses physiques exposées ouvrent une porte encore plus brutale. Les criminels identifient des cibles pour des cambriolages ou des enlèvements. Un couple français a subi trois intrusions en moins d’un mois cet été. Leur maison appartenait auparavant à des millionnaires de la crypto dont l’adresse avait fuité sur le dark web. La logique derrière la conservation des données est pourtant stricte chez Trezor : ShipMonk doit supprimer ou anonymiser les commandes après 90 jours. Les investisseurs l’ont appris à leurs dépens avec des plateformes comme Celsius, dont les clients attendent encore un remboursement selon certaines conditions, preuve que la protection des données et des fonds ne va jamais de soi.

Comment les clients peuvent-ils réagir ?

Les détenteurs de portefeuille Trezor doivent traiter toute urgence inhabituelle comme un signal d’alerte. L’entreprise recommande de ne jamais saisir sa phrase de récupération sur un site web, ni de la partager. Toute demande pressante de vérification, de mise à jour ou de déblocage doit être croisée avec les canaux officiels. La prudence s’impose d’autant plus que des institutions bancaires traditionnelles comme HSBC, qui empêche ses clients d’acheter des cryptomonnaies, poussent certains utilisateurs vers des canaux moins sécurisés.

Une option logistique est en préparation. Trezor promet un système de livraison anonyme basé sur des casiers et un emballage neutre. Le déploiement européen est prévu pour septembre 2026, le marché américain suivra d’ici la fin de l’année. D’ici là, les clients exposés peuvent réduire leur surface d’attaque : utiliser une adresse e-mail sans lien direct avec leur identité civile, ou privilégier un paiement en cryptomonnaie pour les prochaines commandes. Sur ce point, l’exemple de la crypto-banque Nuri en faillite, qui a malgré tout protégé ses clients dans la tourmente, montre qu’une gestion rigoureuse des données reste possible même en situation critique.

Le secteur doit intégrer une réalité structurelle : les fuites de données clients ne touchent pas que les exchanges. Les prestataires logistiques des fabricants de portefeuilles matériels représentent un maillon faible documenté depuis des années, comme le montre l’affaire similaire du piratage de données chez plusieurs sociétés crypto. La sécurisation du canal physique reste une priorité à mesure que les attaques ciblées se multiplient. Les régulateurs, eux, observent ces défaillances comme un signal d’alerte pour l’ensemble de l’écosystème, dans la lignée des initiatives de transparence portées par des acteurs de données comme Kaiko, qui a levé 53 millions de dollars en plein bear market.

À retenir

La violation chez ShipMonk expose les données de 13 689 clients Trezor. Aucun wallet n’est compromis, mais les adresses et numéros de téléphone fuites ouvrent la voie à des attaques ciblées, physiques ou numériques. Les victimes doivent ignorer toute sollicitation non sollicitée. À moyen terme, la livraison anonyme prévue par Trezor pourrait réduire ce risque structurel.

Questions fréquentes

Que faire si j’ai reçu l’e-mail d’alerte de Trezor ?

Ne paniquez pas : vos cryptomonnaies restent en sécurité sur votre portefeuille matériel. Supprimez tout message suspect, ne cliquez sur aucun lien non sollicité et ne communiquez jamais votre phrase de récupération. Vérifiez que les communications proviennent bien de help@trezor.io.

Mes fonds sont-ils en danger après cette fuite ?

Non. Les 13 689 clients exposés n’ont pas vu leurs portefeuilles matériels compromis. Seules des données personnelles (adresses, téléphones, e-mails) ont fuité. Le risque porte sur des tentatives d’hameçonnage ou des menaces physiques, pas sur l’accès direct à vos actifs.

Comment réduire le risque d’attaque physique ?

Installez des mesures de sécurité simples : ne mentionnez pas publiquement que vous détenez des cryptos, soyez discret sur vos livraisons, utilisez une adresse e-mail dédiée et vérifiez l’identité de tout visiteur inattendu. La livraison anonyme de Trezor, prévue fin 2026, réduira ce risque.