Les conséquences de la fuite de données du fournisseur de portefeuilles matériels Trezor se sont révélées plus importantes qu'estimé initialement, touchant désormais 67 000 clients américains supplémentaires.

Dans une publication X diffusée vendredi, Trezor a indiqué que la fuite pourrait mettre en danger davantage d'utilisateurs américains ayant passé commande entre novembre 2019 et août 2021, citant la dernière mise à jour de son prestataire logistique, ShipMonk.

Les clients concernés ont vu l'intégralité de leurs données exposées, notamment leurs noms, adresses e-mail, numéros de téléphone, adresses de livraison et détails de commande. Trezor a reproché au prestataire logistique de ne pas avoir supprimé les données de ces commandes, alors même qu'il avait reçu des assurances écrites de ShipMonk.

Bien que les propres systèmes de Trezor n'aient pas été compromis, la fuite pourrait menacer les avoirs en actifs numériques des 67 000 clients. Des attaquants pourraient exploiter les informations exposées pour lancer des attaques de phishing en se faisant passer pour Trezor, afin de voler les phrases seed des utilisateurs, qui contrôlent leurs portefeuilles. Les portefeuilles matériels comme ceux de Trezor sont conçus précisément pour garder les clés privées hors ligne afin de protéger contre une compromission à distance, mais cette protection ne s'étend pas à un utilisateur qui remet volontairement sa phrase de récupération à quelqu'un se faisant passer pour le fabricant — c'est pourquoi les fuites de données de ce type sont particulièrement précieuses pour les arnaqueurs pratiquant l'ingénierie sociale, capables de rédiger des messages personnalisés convaincants mentionnant de vrais détails de commande.

En août, Trezor avait initialement estimé que seuls 14 000 utilisateurs avaient vu leurs données exposées via le prestataire logistique. Par ailleurs, Trezor avait signalé en janvier 2024 qu'environ 66 000 utilisateurs risquaient des attaques de phishing s'ils avaient contacté l'équipe d'assistance de l'entreprise depuis décembre 2021. Cet épisode n'est pas propre à Trezor : des prestataires tiers tels que les transporteurs, les plateformes marketing et les outils de support client sont devenus à plusieurs reprises le maillon faible de la sécurité des données des entreprises crypto, car les sociétés peuvent contrôler leur propre infrastructure mais dépendent d'assurances contractuelles de la part de partenaires externes.

Les attaques de phishing et l'ingénierie sociale n'exigent pas l'exploitation de failles de code. Néanmoins, ces arnaques par usurpation d'identité ont représenté la majorité des pertes de l'industrie crypto au premier trimestre de l'année, soit 306 millions de dollars sur un total de 482 millions de dollars perdus, selon la société de sécurité blockchain Hacken.

En juillet, un investisseur en crypto a perdu près d'un million de dollars après avoir signé une transaction malveillante d'approbation de token par phishing sur Ethereum.

À lire également : Des hommes d'affaires thaïlandais poursuivent Tether pour avoir gelé 42 millions de dollars dans une affaire de pig butchering de 61 millions de dollars