Trezor : une fuite chez ShipMonk expose les données personnelles de près de 14 000 clients

Une fuite chez le prestataire logistique de Trezor

Trezor a annoncé qu'une violation de données chez ShipMonk, l'un de ses prestataires logistiques, avait exposé les informations personnelles de près de 14 000 clients.

Selon l'entreprise, ShipMonk l'a informée lundi qu'un acteur non autorisé avait accédé à des systèmes contenant des données liées aux commandes de clients Trezor.

L'incident ne concerne donc pas directement l'infrastructure interne de Trezor, mais un fournisseur tiers utilisé pour la gestion et l'expédition de certaines commandes.

Trezor précise qu'il s'agit de la première fuite depuis sa création en 2013 à exposer des numéros de téléphone et des adresses de livraison de clients.

Quelles données ont été exposées ?

Le fabricant distingue deux groupes de clients touchés par l'incident.

Le premier groupe comprend 11 742 personnes dont les noms, adresses email, numéros de téléphone et adresses de livraison ont été exposés.

Un second groupe de 1 947 personnes a vu ses noms, villes et adresses email divulgués.

Au total, cela représente environ 13 689 personnes affectées.

Les hardware wallets eux-mêmes ne sont pas compromis

Trezor insiste sur un point important : l'incident n'a pas compromis ses systèmes internes ni la sécurité technique de ses hardware wallets.

La fuite concerne des données de commande et de livraison détenues par ShipMonk.

En conséquence, les clés privées stockées sur les appareils ne sont pas directement exposées par cette intrusion.

Le risque vient surtout de l'utilisation des données personnelles divulguées pour mener des attaques ciblées contre les propriétaires de wallets.

Le phishing devient le risque immédiat

Les données exposées peuvent être utilisées pour personnaliser des campagnes d'ingénierie sociale.

Un attaquant peut contacter une victime en se faisant passer pour Trezor, une banque, un exchange ou un service de sécurité et utiliser son nom, son adresse ou son numéro de téléphone pour rendre le message plus crédible.

L'objectif peut être d'obtenir une seed phrase, un code de récupération, des identifiants ou une signature permettant de déplacer des actifs.

Les données de livraison augmentent aussi le risque physique

Dans les cas les plus graves, la divulgation d'une adresse personnelle peut avoir des conséquences allant au-delà du phishing.

Des criminels peuvent utiliser ces informations pour identifier des personnes susceptibles de détenir des montants importants en crypto et organiser des cambriolages, des enlèvements ou des extorsions.

The Block rappelle que ces attaques physiques sont devenues plus visibles dans plusieurs pays au cours des dernières années.

Plus de 30 M$ volés lors d'attaques violentes au premier semestre 2026

Selon des données de Chainalysis citées par The Block, plus de 30 millions de dollars auraient été dérobés lors d'attaques violentes au cours du premier semestre 2026.

Ce rythme pourrait dépasser le total de 58 millions de dollars enregistré sur l'ensemble de l'année 2025.

Ces chiffres illustrent pourquoi la fuite d'adresses physiques de détenteurs potentiels de cryptomonnaies constitue un problème de sécurité particulièrement sérieux.

Le précédent Ledger reste dans les mémoires

Le secteur a déjà connu plusieurs incidents similaires touchant des fabricants de hardware wallets.

En janvier 2026, des clients de Ledger avaient été informés que leurs noms et coordonnées avaient été exposés après un accès non autorisé à des données de commande détenues par le prestataire e-commerce Global-e.

Un incident beaucoup plus important avait déjà touché Ledger en 2020.

La fuite Ledger de 2020 avait exposé plus de 270 000 clients

En 2020, des attaquants avaient accédé à des données marketing et e-commerce liées à Ledger.

Les informations personnelles de plus de 270 000 clients avaient ensuite été publiées sur un forum de hacking.

Les données comprenaient des noms, adresses email, numéros de téléphone et, pour certains clients, des adresses personnelles.

Des années après l'incident, certains utilisateurs continuaient encore de signaler des appels téléphoniques et des courriers physiques frauduleux.

Une fuite de données peut rester dangereuse pendant des années

Contrairement à un mot de passe, une adresse physique ou un numéro de téléphone ne peut pas toujours être changé facilement.

Les bases de données compromises peuvent également circuler pendant des années entre différents groupes criminels.

Une personne touchée peut donc rester exposée longtemps après la fermeture de la faille initiale.

Les clients concernés doivent se méfier des faux messages Trezor

Les victimes de la fuite doivent considérer avec prudence tout email, SMS, appel ou courrier affirmant provenir de Trezor.

Un message contenant des informations personnelles exactes n'est pas nécessairement légitime, puisque ces données peuvent désormais être connues d'un attaquant.

Une demande de seed phrase, de code de récupération ou de transfert vers un nouveau wallet doit être considérée comme extrêmement suspecte.

Trezor ne demandera jamais la seed phrase d'un utilisateur

La seed phrase reste le secret le plus critique pour un utilisateur de hardware wallet.

Une personne qui obtient cette phrase peut généralement reconstruire le wallet sur un autre appareil et prendre le contrôle des fonds.

Elle ne doit donc jamais être communiquée par email, téléphone, formulaire web ou messagerie, même si le demandeur prétend travailler pour Trezor.

Le risque des fournisseurs tiers

L'incident montre également que la sécurité d'une entreprise dépend en partie de son écosystème de fournisseurs.

Même lorsqu'un fabricant protège correctement ses propres systèmes, les données nécessaires au paiement, à l'expédition ou au support peuvent être stockées chez des partenaires externes.

Chaque prestataire devient ainsi un point potentiel d'exposition.

Minimiser la conservation des données devient stratégique

Pour les sociétés crypto, la question ne consiste donc pas uniquement à empêcher les intrusions.

Elles doivent également limiter la quantité de données personnelles conservées et la durée pendant laquelle ces informations restent accessibles.

Plus une donnée sensible est supprimée rapidement après son utilisation opérationnelle, moins elle peut être exposée lors d'une future compromission.

La sécurité d'un hardware wallet ne se limite pas à l'appareil

Les hardware wallets sont conçus pour isoler les clés privées des ordinateurs et téléphones connectés à internet.

Mais la sécurité globale d'un détenteur de crypto dépend aussi de la protection de son identité, de ses données personnelles et de ses habitudes.

Une clé privée correctement protégée ne supprime pas le risque qu'un attaquant tente de manipuler ou de menacer physiquement son propriétaire.

Un rappel important pour les détenteurs de crypto

L'incident ShipMonk rappelle que la confidentialité fait partie intégrante de la sécurité crypto.

Les utilisateurs concernés doivent renforcer leur vigilance face aux messages personnalisés, éviter de cliquer sur des liens reçus par email ou SMS et vérifier toute communication directement depuis les canaux officiels de Trezor.

Dans les situations où une adresse personnelle a été exposée, les utilisateurs détenant des montants importants peuvent également envisager de revoir leurs pratiques de sécurité physique et la manière dont ils stockent leurs actifs.