Le 4 septembre, Trezor a considérablement élargi le périmètre d’une fuite révélée trois semaines plus tôt. ShipMonk lui a indiqué le 2 septembre que l’incident concernait également des commandes américaines passées entre novembre 2019 et août 2021.

Environ 67 000 clients supplémentaires sont concernés.

Pour cette nouvelle tranche, les informations exposées comprennent le nom, l’adresse email, le numéro de téléphone, l’adresse de livraison et le numéro de commande.

La première estimation était d’environ 13 689 personnes

Lorsque Trezor avait annoncé l’incident le 13 août, le bilan était nettement plus réduit. La société parlait de 11 742 clients dont le nom, l’email, le téléphone et l’adresse de livraison avaient été exposés.

1 947 autres clients avaient subi une exposition partielle comprenant notamment le nom, la ville et l’adresse email.

Cette première communication concernait principalement des commandes récentes expédiées par ShipMonk dans plusieurs pays entre mai et août 2026.

Avec les quelque 67 000 dossiers américains supplémentaires révélés en septembre, le périmètre cumulé dépasse désormais largement 80 000 clients.

Le problème le plus gênant : ces anciennes données étaient censées avoir disparu

Trezor applique une politique selon laquelle les données liées aux achats doivent être supprimées ou anonymisées 90 jours après la livraison, une fois passées les périodes nécessaires aux retours, remboursements et remplacements.

La société explique avoir imposé une politique similaire à ses partenaires logistiques.

Pour les données de 2019 à 2021, Trezor affirme avoir demandé à plusieurs reprises leur suppression à ShipMonk et avoir reçu des confirmations écrites indiquant que cette suppression avait été effectuée.

Elles se trouvaient pourtant encore dans les systèmes touchés par la fuite.

Aucune seed ni clé privée n’a été volée

La distinction compte beaucoup dans le cas d’un fabricant de hardware wallets.

Trezor indique que ses propres systèmes n’ont pas été compromis. Ses appareils ne sont pas affectés et l’incident n’a pas donné accès aux sauvegardes de portefeuille ou aux clés privées des clients.

Le contenu des colis n’était pas inclus dans les informations exposées lors de l’incident initial, selon l’entreprise.

Posséder un Trezor ne signifie donc pas qu’un attaquant peut déplacer les cryptomonnaies conservées avec l’appareil.

C’est presque le piège de cette fuite : les informations volées ne cassent pas la cryptographie. Elles peuvent aider quelqu’un à convaincre la victime de la casser elle-même.

Un faux message Trezor devient beaucoup plus crédible avec une vraie adresse

Un email générique réclamant une phrase de récupération est facile à reconnaître. Un message contenant le vrai nom du client, son numéro de téléphone, une référence de commande et son adresse de livraison possède une autre apparence.

Les mêmes données peuvent servir lors d’un appel téléphonique ou d’un courrier physique. Trezor avertit explicitement ses clients contre les emails frauduleux, les appels, les lettres et l’usurpation d’identité d’un exchange, d’une banque ou de Trezor lui-même.

L’entreprise rappelle qu’une sauvegarde de portefeuille ne doit jamais être communiquée à quelqu’un ni saisie sur un site web.

L’adresse physique ajoute un risque propre aux détenteurs de cryptos

Une base de clients achetant des chaussures et une base de clients achetant un coffre-fort à cryptomonnaies n’ont pas tout à fait la même valeur pour un attaquant.

Acheter un hardware wallet peut suggérer que la personne possède des actifs numériques qu’elle juge suffisamment importants pour justifier un appareil dédié. Ce n’est évidemment pas une preuve du montant détenu.

Une adresse de domicile transforme toutefois une fuite marketing classique en information potentiellement sensible sur le plan physique. Trezor le reconnaît directement dans son avis de sécurité.

Le précédent Ledger explique pourquoi ces données peuvent rester dangereuses pendant des années

Le secteur a déjà connu un épisode comparable. En 2020, des données personnelles de clients Ledger avaient été dérobées puis, pour une partie d’entre elles, publiées en ligne.

Des utilisateurs ont continué à signaler longtemps après la fuite des appels, courriers et tentatives de phishing exploitant ces informations.

Une adresse email peut être changée. Déplacer son domicile parce qu’un ancien prestataire logistique a conservé une base de commandes est une réponse légèrement moins pratique.

Trezor prépare justement une livraison plus anonyme

Dans son avis, l’entreprise conseille déjà d’utiliser si possible une adresse email séparée de son identité habituelle et évoque l’usage d’une boîte postale.

Elle prépare également une option baptisée Anonymous Delivery. Le principe annoncé combine un processus de commande dédié, un retrait en casier, un emballage neutre, des informations génériques sur l’expéditeur et une suppression automatique des identifiants de livraison après la remise du colis.

Trezor vise une disponibilité dans l’Union européenne en septembre 2026 puis aux États-Unis avant la fin de l’année.

Cette fuite ne remet pas en cause le principe du cold wallet

L’incident ne concerne pas la manière dont un Trezor conserve ou signe les clés cryptographiques. Il touche la chaîne beaucoup plus banale nécessaire pour vendre et expédier un objet physique.

C’est précisément ce qui le rend instructif.

On peut construire un appareil dont la clé privée ne quitte jamais le matériel, puis perdre à côté une base contenant le nom et l’adresse de son propriétaire parce qu’un prestataire n’a pas supprimé les commandes comme prévu.

La sécurité de la self-custody ne s’arrête pas au Secure Element.