Le chiffre des victimes explose
La semaine du 4 septembre a marqué un tournant pour les utilisateurs américains de Trezor, leader des portefeuilles matériels crypto.
Les personnes concernées sont toutes situées aux États-Unis et avaient passé commande entre novembre 2019 et août 2021. Les informations exposées incluent noms, adresses email, numéros de téléphone, adresses postales et numéros de commande. Trezor précise que les détenteurs non notifiés par email ne sont pas concernés par cette fuite.
Des logs jamais vraiment effacés
L’origine de cette fuite remonte au prestataire logistique ShipMonk, qui gérait les expéditions pour Trezor sur le marché américain. Selon bitcoinmagazine.com, Trezor affirme avoir demandé et reçu à plusieurs reprises des garanties écrites attestant la suppression des données clients par ShipMonk. Pourtant, les enregistrements liés aux commandes passées entre fin 2019 et l’été 2021 étaient toujours présents dans les systèmes du prestataire.
Ce défaut de suppression a permis à un attaquant d’accéder à une base contenant des informations sensibles sur plusieurs dizaines de milliers d’acheteurs. ShipMonk aurait également reçu des tentatives d’extorsion signées ShinyHunters, un groupe connu pour ses attaques contre des plateformes majeures ces dernières années — même si l’attribution formelle reste incertaine.
La faille SQL qui coûte cher
La brèche provient d’une vulnérabilité critique dite « SQL injection » dans Metabase, un outil utilisé par ShipMonk et rendue publique le 6 août dernier.
Ce type de faille permet à un pirate d’injecter du code malveillant dans une base de données via une interface web mal protégée. Une exploitation réussie donne accès à tout ou partie des données stockées. Dans ce cas précis, la faille a permis la récupération massive d’informations sur les clients américains ayant acheté un portefeuille Trezor sur près de deux ans. L’incident démontre que même des prestataires tiers peuvent devenir le maillon faible d’une chaîne de sécurité pourtant réputée solide.
Voir Aussi
Trezor rassure sur les portefeuilles
Face à l’ampleur inédite du vol de données, Trezor insiste sur le fait que ses propres systèmes n’ont pas été compromis : ni appareils physiques, ni clés privées ou seeds (phrases secrètes permettant la récupération des fonds) n’ont été exposés lors de cet incident.
Seules les informations liées aux commandes et aux coordonnées ont fuité. La société a contacté individuellement tous les clients concernés par email afin de leur détailler la nature exacte des données compromises et leur recommander une vigilance accrue face au phishing ou à toute sollicitation suspecte.
Pour limiter l’exposition future, Trezor travaille désormais sur une option d’expédition anonyme : retrait en consigne automatique, emballage neutre sans mention apparente du produit ni du fabricant. Cette mesure vise à réduire le risque que l’achat d’un portefeuille matériel puisse être relié à une adresse physique identifiable en cas de nouvelle fuite chez un logisticien.
Pourquoi ça compte ?
Si aucun fonds n’a été directement compromis, cette fuite massive souligne la fragilité des chaînes logistiques numériques : plus de 80 000 utilisateurs américains voient désormais leurs coordonnées circuler potentiellement entre mains malveillantes. Cela accroît fortement leur exposition au phishing ciblé ou même au risque physique (tentatives d’escroquerie ou cambriolages ciblés), surtout dans le contexte crypto où l’anonymat est souvent recherché.
Ce qu'il faut suivre de près
Si Trezor confirme un chiffre officiel consolidé du nombre total de clients affectés—actuellement estimé à environ 80 700 mais sans précision sur un éventuel chevauchement entre les groupes—cela clarifiera immédiatement l’ampleur exacte de la fuite et le périmètre des notifications envoyées.