Un jour, une autre alerte de sécurité. Le fabricant de portefeuilles matériels Trezor affirme qu’une intrusion impliquant le partenaire d’expédition Shipmonk a exposé les informations personnelles d’environ 67 000 clients américains supplémentaires, après que des dossiers que Trezor dit avoir dû être supprimés soient restés, au lieu de cela, bien rangés dans les systèmes du fournisseur.
La fuite de données de Trezor s’aggrave alors que 67 000 acheteurs américains supplémentaires sont exposés
ÉCRIT PAR
PARTAGER
Points clés
- Trezor a ajouté 67 000 clients américains à la violation Shipmonk le 4 septembre.
- La fuite de Trezor concerne désormais environ 80 000 personnes, y compris des adresses domiciliaires.
- Trezor vise une livraison anonyme aux États-Unis d’ici la fin de 2026.
Les dossiers nouvellement identifiés couvrent des commandes américaines passées entre novembre 2019 et août 2021 et élargissent un incident qui avait déjà touché 13 689 clients plus récents dans plusieurs pays. Au total, la violation concerne maintenant environ 80 000 personnes, bien que les systèmes, les appareils, les clés privées et les sauvegardes de portefeuille de Trezor n’aient pas été compromis.
Trezor découvre 67 000 autres clients américains dans la violation
À la suite de la dernière divulgation, Trezor a indiqué avoir appris le 2 septembre que la violation chez Shipmonk était plus importante qu’initialement rapporté. Les anciens dossiers contiennent les noms, adresses e-mail, numéros de téléphone, adresses de livraison et numéros de commande des clients, fournissant aux attaquants des informations susceptibles de rendre les escroqueries bien plus convaincantes.
La découverte est particulièrement préoccupante, car Trezor affirme avoir demandé à plusieurs reprises à Shipmonk de supprimer ces informations et avoir reçu une confirmation écrite indiquant qu’elles avaient été supprimées. Trezor a déclaré que ces assurances étaient conformes à son contrat, à sa politique de données et à ses communications précédentes avec le prestataire logistique.
Cela soulève également des questions sur la politique de conservation des données de 90 jours mise en avant par Trezor avec ses partenaires logistiques. Les dossiers nouvellement découverts remontent à plusieurs années, montrant que la politique n’a pas été appliquée pour les clients américains concernés de 2019 à 2021.
Les adresses divulguées font passer la menace au-delà du phishing par e-mail
Les informations exposées ne permettent pas à un attaquant d’accéder à distance à un portefeuille Trezor. Les clés privées et les phrases de récupération (seed phrases), les mots secrets de récupération utilisés pour contrôler un portefeuille crypto, ne faisaient pas partie de la violation.
Mais le type d’information exposé crée un problème différent. Trezor a averti que les numéros de téléphone et les adresses domiciliaires divulgués pourraient potentiellement exposer les clients concernés à un risque physique, tandis que de vrais numéros de commande et des coordonnées pourraient aider des escrocs à usurper l’identité de l’entreprise de manière plus convaincante.
La violation est survenue en dehors de Trezor. Des attaquants ont exploité une vulnérabilité d’injection SQL jusque-là inconnue dans Metabase, une plateforme d’analytique utilisée par Shipmonk. Metabase a notifié Shipmonk aux alentours du 6 août, a corrigé la vulnérabilité et invalidé les sessions, tandis que Shipmonk a ensuite expliqué avoir sécurisé ses systèmes.
Les défaillances de données de tiers mettent les acheteurs de portefeuilles matériels en danger
L’incident fait suite à d’autres expositions impliquant des tiers concernant des clients Trezor. Environ 106 856 clients ont été touchés lors d’un incident en 2022, tandis qu’un portail d’assistance compromis en 2024 a exposé jusqu’à 66 000 noms et adresses e-mail. Dans chaque cas, les portefeuilles matériels eux-mêmes n’ont pas été compromis à distance.
Cette distinction est importante pour les clients qui décident de la manière de réagir. Trezor avertit que personne dans l’entreprise ne demandera une sauvegarde de portefeuille, ce qui signifie que les clients ne doivent jamais saisir leur phrase de récupération sur un site web ni la remettre à quelqu’un prétendant fournir une assistance.
Trezor promeut la livraison anonyme alors que l’avenir de Shipmonk reste incertain
Trezor promeut désormais un système de livraison anonyme conçu pour réduire la quantité d’informations client conservées lors de l’achat de portefeuilles matériels. Le système comprend le retrait en consigne (locker), un emballage neutre, un expéditeur générique et la suppression automatique des identifiants d’expédition après la livraison, avec un lancement en Europe visé pour septembre et un déploiement aux États-Unis prévu d’ici la fin de 2026.
Pour l’instant, Trezor n’a pas annoncé son intention d’abandonner Shipmonk. L’entreprise a précédemment déclaré qu’elle déterminerait l’avenir du partenariat après avoir obtenu une vision complète de l’incident, laissant cette décision en suspens alors même que le nombre connu de clients touchés approche les 80 000. L’affaire fait suite à plusieurs incidents inquiétants liés aux portefeuilles matériels survenus en 2026, associés à Safepal et aux portefeuilles Coldcard.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
