Trezor a annoncé vendredi que 67 000 clients américains supplémentaires étaient concernés par la fuite de données survenue chez son transporteur, ShipMonk, que le fabricant de portefeuilles matériels avait révélée pour la première fois le mois dernier.

Les enregistrements nouvellement identifiés couvrent des commandes passées entre novembre 2019 et août 2021, ce qui rend certains d'entre eux vieux de près de sept ans. ShipMonk a transmis cette découverte à Trezor il y a deux jours.

Les données exposées comprennent des noms, adresses e-mail, numéros de téléphone, adresses postales et numéros de commande. Trezor a indiqué avoir demandé et obtenu à plusieurs reprises de ShipMonk une confirmation écrite que ces enregistrements avaient été supprimés, conformément à son contrat et à sa politique de données, et s'est dit déçu d'apprendre qu'il n'en était rien. Cet épisode rappelle que même les entreprises dont la sécurité interne est intacte peuvent être exposées par des prestataires tiers — en l'occurrence un prestataire logistique qui a conservé des données clients bien au-delà de ce que son contrat autorisait.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Lorsque Trezor a révélé la fuite en août, elle attribuait sa portée limitée à une politique de suppression sous 90 jours qu'elle affirait avoir négociée dans les conditions de ses partenaires logistiques. Cette affirmation apparaît désormais considérablement affaiblie : le nombre de clients concernés est passé de 13 689 à environ 80 700. Il est fréquent que les divulgations de fuites de données s'étoffent au fil du temps, les enquêtes découvrant des systèmes compromis ou des données conservées supplémentaires ; de nouvelles mises à jour restent donc possibles.

Les propriétaires de portefeuilles face à de multiples menaces

Les systèmes propres de Trezor n'ont pas été compromis, et les appareils, clés privées et sauvegardes de portefeuille sont intacts. Le danger, souligne l'entreprise, est que ces enregistrements identifient des propriétaires confirmés de portefeuilles matériels à des adresses domiciliaires précises. Outre des avertissements concernant les faux e-mails, appels et courriers, Trezor a mis en garde les clients concernés contre des risques pour leur sécurité physique, et a rappelé qu'une sauvegarde de portefeuille ne doit jamais être partagée ni saisie sur un site web.

Des propriétaires de portefeuilles Trezor comme de son concurrent Ledger recevaient déjà en février de faux courriers, imprimés avec des hologrammes, des codes QR et de fausses signatures de dirigeants, leur demandant d'activer un contrôle de sécurité fictif sous peine de perdre l'accès à leurs portefeuilles. Ledger elle-même a subi une fuite de données majeure de sa boutique en ligne en 2020, qui a exposé les données personnelles de près d'un million de clients et a été suivie d'années d'hameçonnage et de menaces à leur encontre — un précédent qui illustre la durée pendant laquelle des données d'acheteurs volées peuvent continuer d'alimenter des attaques.

À l'époque, le consultant en cybercriminalité David Sehyeon Baek avait déclaré à Decrypt qu'un courrier comportant un nom et une adresse domicile signale « nous pouvons vous localiser », et que les données volées restent utiles pendant des années car les gens déménagent ou changent rarement de numéro de téléphone.

L'intrusion remonte à une faille critique d'injection SQL dans l'outil d'analyse Metabase, révélée le 6 août, qui a permis à des attaquants non authentifiés de voler des identifiants de bases de données connectées. Le fabricant d'ordinateurs portables Framework et le créateur de formulaires Tally ont été touchés par la même vague d'attaques, ce qui montre comment une seule vulnérabilité dans un logiciel largement utilisé peut se répercuter sur les données de nombreuses entreprises. Selon des rapports, ShipMonk a reçu des e-mails d'extorsion attribués au groupe ShinyHunters, mais cette attribution reste non confirmée.

Trezor a indiqué travailler à proposer une livraison anonyme dans les plus brefs délais — une option reposant sur le retrait en consigne, un emballage neutre et des informations d'expéditeur génériques, afin que les acheteurs n'aient plus du tout à communiquer leur adresse domiciliaire.