Trezor : la fuite de données chez son transporteur touche 67 000 clients de plus

Ce qu’il faut retenir :

• Environ 67 000 clients américains supplémentaires sont concernés par la fuite chez ShipMonk.
• Les données exposées comprennent noms, adresses postales, courriels et numéros de téléphone.
• Trezor affirme que ces données auraient dû être supprimées et que ses propres systèmes n’ont pas été touchés.

Trezor a annoncé vendredi qu’environ 67 000 clients américains supplémentaires étaient concernés par la fuite de données survenue chez son prestataire logistique ShipMonk, alors que le fabricant de portefeuilles matériels avait initialement fait état de près de 14 000 personnes touchées.

Ce que contiennent les données concernées

Le prestataire a informé Trezor le 2 septembre que l’incident dépassait le périmètre annoncé et incluait des commandes passées entre novembre 2019 et août 2021.

Les enregistrements nouvellement identifiés comprennent les noms, adresses électroniques, numéros de téléphone, adresses de livraison et numéros de commande des clients.

Le premier bilan, publié le 13 août, portait sur 11 742 clients dont les noms, courriels, numéros de téléphone et adresses de livraison avaient été exposés, plus 1 947 autres dont les noms, villes et adresses électroniques avaient fuité.

Des données qui auraient dû être effacées

Le point le plus embarrassant tient au motif de leur présence. Trezor affirme avoir demandé à plusieurs reprises la suppression de ces données tout au long de la relation commerciale, et avoir reçu des confirmations écrites de leur effacement, conformément au contrat, à sa politique de données et aux échanges précédents.

“Nous sommes très déçus que ces données n’aient pas été supprimées de leurs systèmes malgré cette confirmation”, indique l’entreprise.

Lors de la première annonce, le fabricant estimait que la portée de la fuite restait limitée par une règle imposant à ses partenaires logistiques d’effacer ou d’anonymiser les données de commande 90 jours après la livraison. Des enregistrements datant de 2019 subsistaient pourtant.

Trezor précise que ses propres systèmes n’ont pas été compromis et que ses portefeuilles matériels restent sûrs. L’entreprise indique avoir contacté par courriel l’ensemble des clients concernés par cette nouvelle annonce.

Pourquoi une adresse postale compte plus qu’un courriel

L’entreprise met en garde contre les courriels frauduleux, les appels et courriers trompeurs, mais aussi contre des risques de sécurité physique.

Cette dernière mention n’a rien de théorique pour ce type de clientèle. Une base de données associant un nom, une adresse de domicile et l’achat d’un dispositif servant à conserver des cryptomonnaies constitue exactement l’information que recherchent les auteurs d’agressions à domicile.

Le contexte français rend cette alerte concrète. Le ministre de l’Intérieur recensait fin juin 77 faits de séquestration, enlèvement ou extorsion liés aux cryptomonnaies depuis le début de l’année, contre 45 sur l’ensemble de 2025. Une affaire de ce type a encore eu lieu dans les Yvelines la semaine dernière.

Le précédent Ledger, six ans après

L’histoire du secteur fournit un point de comparaison instructif. Une fuite survenue chez Ledger en 2020 avait exposé les informations de plus de 270 000 clients, avec des noms, adresses électroniques, numéros de téléphone et, dans certains cas, des adresses de domicile, publiés par la suite sur un forum de piratage.

Les clients de ce fabricant continuent de signaler des appels frauduleux et des courriers physiques plusieurs années après les faits.

C’est la caractéristique de ce type d’incident : les données ne se périment pas. Une adresse de domicile reste valable des années, et les listes circulent longtemps après la publication initiale.

Que faire si vous êtes concerné

Trois réflexes limitent l’exposition.

Ne jamais communiquer sa phrase de récupération, quel que soit l’interlocuteur. Aucun fabricant, aucun service client, aucune procédure de mise à jour ne la réclame légitimement. Les campagnes documentées cette année ont utilisé de faux courriers postaux à en-tête de fabricants pour obtenir précisément cette information.

Traiter avec méfiance tout contact non sollicité mentionnant un achat de matériel crypto, y compris par téléphone ou par voie postale, ces canaux inspirant davantage confiance qu’un courriel.

Et considérer, pour ceux dont l’adresse figure dans ces listes, que le risque relève désormais autant de la sécurité physique que de la sécurité informatique.

Et maintenant ?

Deux points restent ouverts. L’existence éventuelle d’autres enregistrements non identifiés, le périmètre ayant déjà été révisé une fois à la hausse. Et les suites données par Trezor à la conservation de données que son prestataire affirmait avoir supprimées, un manquement contractuel qui appelle une réponse dépassant le communiqué.

L’incident rappelle enfin une limite structurelle. Un fabricant peut sécuriser son produit et ses systèmes, il reste dépendant de chaque prestataire par lequel transitent les commandes de ses clients.