Un tiers non autorisé a accédé aux données clients détenues par le partenaire logistique de Trezor. La fuite touche 13 689 clients dans sept pays. Pour 11 742 d'entre eux, l'exposition concerne le nom complet, l'adresse de livraison, le numéro de téléphone et l'adresse e-mail.

Trezor est une marque de portefeuilles matériels appartenant à la société tchèque SatoshiLabs, qui a lancé en 2013 le premier portefeuille matériel crypto largement disponible sur le marché. Ses appareils stockent les clés privées hors ligne, à l'écart d'Internet, ce qui les place parmi les formes d'auto-conservation les plus sûres. Cette même orientation sécurité rend la liste de clients précieuse, car toute personne qui y figure détient très probablement des cryptomonnaies. L'incident concerne les commandes passées entre le 10 mai et le 8 août 2026, avec des expéditions vers les États-Unis, le Royaume-Uni, la Suède, la Colombie, le Brésil, l'Italie et le Portugal. Le prestataire concerné est ShipMonk, une entreprise de logistique dont le siège se trouve à Fort Lauderdale, en Floride, et qui exploite des entrepôts en Amérique du Nord et en Europe pour des commerçants en ligne. Selon l'entreprise, les appareils, les clés privées et les sauvegardes de portefeuille sont restés intacts. En réponse, le fabricant a également annoncé une option de livraison anonyme.

Ce que la fuite de données Trezor chez ShipMonk a exposé

ShipMonk a informé Trezor le 11 août 2026 de l'accès non autorisé à des systèmes contenant des données clients. Trezor vendant ses appareils en ligne, la livraison est assurée par des partenaires externes. Les prestataires logistiques gèrent le stockage, la préparation et l'expédition, et ont donc besoin des adresses de livraison complètes et des coordonnées des clients finaux — sans ces informations, aucun colis ne peut être livré. C'est précisément cet ensemble de données qui s'est retrouvé exposé. Deux jours plus tard, l'entreprise a rendu le cas public.

Les clients concernés se répartissent en deux groupes. Pour 11 742 clients, l'exposition est complète : nom, adresse de livraison, numéro de téléphone et adresse e-mail. Pour 1 947 autres, elle se limite au nom, à la ville et à l'adresse e-mail. Ensemble, ces deux groupes constituent les 13 689 cas rapportés. Les noms et numéros de téléphone permettent des appels d'hameçonnage ciblés, tandis que l'adresse de livraison rend le détenteur localisable physiquement.

Selon l'entreprise, l'accès n'a porté ni sur les appareils, ni sur les clés privées ou les sauvegardes de portefeuille, et les propres systèmes de Trezor sont eux aussi restés hors de portée de l'attaquant. Dans l'ensemble, l'incident touche la couche logistique qui entoure le produit. Le fabricant attribue la portée limitée de l'incident à une politique stricte de conservation des données de 90 jours, qui s'applique également par contrat aux partenaires logistiques. Les données de commandes plus anciennes n'existent plus chez ces derniers, de sorte que les expéditions antérieures sortent de la période concernée. Trezor a par ailleurs informé chaque client concerné individuellement par e-mail et s'est publiquement excusé pour l'incident. L'enquête se poursuit et des mises à jour seront publiées sur le blog de l'entreprise.

Pourquoi une liste d'adresses expose les détenteurs de cryptomonnaies à un risque particulier

Une liste d'acheteurs de portefeuilles matériels n'est pas une clientèle ordinaire. Quiconque associe une adresse de domicile à un achat chez Trezor identifie une cible probable, car cet acheteur détient très probablement des avoirs crypto plus importants.

Le précédent remonte à 2020. Chez le concurrent Ledger, basé à Paris, des attaquants ont dérobé environ 1,1 million d'adresses e-mail via une interface tierce. Ils ont également obtenu environ 272 000 enregistrements détaillés comprenant nom complet, numéro de téléphone et adresse postale. En décembre 2020, ces données ont fini par être rendues publiques en ligne. Peu après, de vastes campagnes d'hameçonnage et d'extorsion ont visé les clients de Ledger, accompagnées dans certains cas de menaces contre leur sécurité physique. Ledger a ensuite abordé l'incident dans une déclaration publique.

Le paysage des menaces s'est dégradé depuis. Chainalysis, société d'analyse blockchain basée à New York, a recensé 46 incidents violents liés aux cryptomonnaies dans le monde au premier semestre 2026, contre 40 un an plus tôt. Ces attaques dites « à la clé à molette » (wrench attacks) comprennent des enlèvements, des intrusions domiciliaires et des prises d'otages. Rien qu'au premier semestre de l'année, les auteurs se sont emparés d'environ 30 millions USD et, au total, ont tenté d'obtenir 107 millions USD. Selon Chainalysis, 2026 est en voie de battre le record annuel de 2025, qui s'élevait à 58 millions USD. Le taux de réussite des attaquants a toutefois reculé, passant de 49 % en 2025 à 26 % : le nombre de tentatives augmente tandis que moins d'entre elles aboutissent.

À l'échelle régionale, la France se détache. Chainalysis y recense 30 incidents publiquement connus, tandis que les autorités en ont enregistré plus de 70. La société d'analyse identifie une fuite de données survenue à l'administration fiscale comme l'une des causes. Cette fuite date de 2024 et a concerné la grande région parisienne. Un fonctionnaire aurait volé et vendu des registres de détenteurs fortunés de cryptomonnaies, comprenant noms, adresses, numéros de téléphone et avoirs. Des groupes criminels ont ensuite utilisé ces informations pour planifier leurs attaques, en choisissant leurs cibles en fonction des avoirs enregistrés. Au bout du compte, le chemin menant d'une liste d'adresses à une porte d'entrée est documenté.

La livraison anonyme comme réponse au problème des adresses

Environ une heure après la première notification, Trezor a annoncé une option baptisée « Anonymous Delivery ». Elle cible exactement la catégorie de données exposée chez ShipMonk. Les clients saisissent d'abord un pseudonyme ou un identifiant d'étiquette lors du paiement, au lieu de leur identité réelle. L'expédition est ensuite acheminée vers une consigne automatique, où les acheteurs la retirent eux-mêmes. Les consignes automatiques de ce type constituent déjà un format de livraison établi dans une grande partie de l'Europe. Le nom réel et l'adresse de domicile ne se trouvent plus réunis chez le prestataire, et le livreur se présentant à la porte avec nom et adresse disparaît.

De plus, l'emballage reste neutre et arbore un expéditeur générique, et le prestataire envoie le code PIN de retrait uniquement par e-mail ou par SMS. Les points de retrait remplacent l'adresse de domicile comme lieu de livraison, et le nom réel de l'acheteur n'apparaît plus sur l'expédition. Un prestataire compromis ne céderait par conséquent que des pseudonymes et des points de retrait. Trezor qualifie le projet de priorité absolue actuelle.

L'option devrait être disponible dans l'UE à partir de septembre 2026. Aux États-Unis, elle est attendue vers la fin de l'année 2026. D'ici là, les commandes continueront de transiter par les canaux existants. Le calendrier illustre toutefois les limites de l'annonce : pour les 13 689 clients déjà touchés, la nouvelle option d'expédition ne change rien. En définitive, l'annonce revient à admettre que les données d'expédition constituent en elles-mêmes un problème de sécurité.

Obligations de déclaration et schéma récurrent derrière l'incident

Derrière Trezor se trouve SatoshiLabs, basée en République tchèque ; le droit européen de la protection des données s'applique donc à l'incident. Le règlement général sur la protection des données (RGPD) exige une notification à l'autorité de contrôle dans un délai de 72 heures, en particulier lorsqu'une violation présente un risque pour les personnes concernées. En cas d'infraction au règlement, le cadre prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial d'une entreprise. En l'espèce, la compétence reviendrait à l'autorité de contrôle tchèque ÚOOÚ. Le délai courant à compter de la connaissance de la violation, il a commencé le 11 août 2026. Cela dit, il n'est pas documenté publiquement de savoir si Trezor a déposé une telle notification, ni quand. Au-delà de l'UE, les sept pays concernés font entrer en jeu d'autres régimes de notification ; aux États-Unis, les cinquante États appliquent chacun leurs propres lois sur la notification des violations de données.

Trezor a déjà été confrontée à ce mécanisme. En avril 2022, des attaquants ont compromis son compte de newsletter chez le fournisseur de messagerie Mailchimp et s'en sont servis pour envoyer aux clients des e-mails d'hameçonnage évoquant une prétendue fuite de données ; Trezor avait confirmé à l'époque qu'aucune fuite de ce type n'avait eu lieu. La récurrence du schéma est frappante. Dans tous ces cas, les données se trouvaient en dehors des systèmes que les utilisateurs de cryptomonnaies contrôlaient eux-mêmes : auparavant une interface marketing, un compte de newsletter et une autorité fiscale, désormais un prestataire d'expédition. De fait, les prestataires tiers constituent un vecteur d'attaque récurrent contre les détenteurs de cryptomonnaies. La cryptographie des appareils n'a jamais été en cause. Pour les acheteurs, la sécurité de la conservation commence dès la commande, et la logistique qui la sous-tend demeure vulnérable.