L'incident chez ShipMonk expose 80 000 clients de Trezor. Analyse d'une faille logistique et des dangers du phishing physique pour les détenteurs de crypto.

La sécurité dans l'écosystème des cryptomonnaies repose souvent sur une distinction nette entre la protection cryptographique des actifs et la confidentialité des données personnelles. L'incident récent impliquant Trezor et son partenaire logistique ShipMonk vient rappeler que cette frontière est poreuse. Si les fonds des utilisateurs restent en sécurité, l'exposition massive de données d'expédition crée un vecteur d'attaque concret et inquiétant : le phishing physique.

Une faille logistique aux conséquences étendues

L'affaire a débuté le 10 août 2026, lorsque ShipMonk a informé le fabricant de portefeuilles matériels d'un accès non autorisé à ses systèmes. Dans un premier temps, Trezor avait communiqué sur l'exposition des données de 13 689 clients, répartis entre les États-Unis, le Royaume-Uni, la Suède, la Colombie, le Brésil, l'Italie et le Portugal. Cependant, le bilan a rapidement été revu à la hausse.

Le 2 septembre, une mise à jour a révélé que 67 000 clients américains supplémentaires étaient impactés. Au total, environ 80 000 personnes ont vu leurs informations personnelles compromises. Les données fuitées comprennent les noms, les adresses électroniques, les numéros de téléphone, les adresses de livraison et les numéros de commande. Cette extension du périmètre concerne des achats effectués entre novembre 2019 et août 2021, une période qui souligne une faille majeure dans la gestion du cycle de vie des données.

Le paradoxe de la suppression des données

L'aspect le plus problématique de cette intrusion réside dans la gestion contractuelle des informations. Trezor applique une politique stricte de rétention des données : après 90 jours, les informations liées à un achat sur l'eShop doivent être supprimées ou anonymisées. Ce délai est calculé pour couvrir la livraison, les retours et les éventuels remboursements.

Pourtant, la présence de données remontant à 2019 prouve que ShipMonk a conservé ces archives bien au-delà du délai convenu. Trezor a déclaré avoir demandé à plusieurs reprises la suppression de ces données et avoir reçu des confirmations écrites de l'exécution de cette tâche. Cette situation met en lumière une vulnérabilité classique de la supply chain : la confiance accordée aux assurances d'un prestataire tiers sans mécanisme de vérification technique indépendant.

L'origine technique : l'exploitation d'un zero-day

L'intrusion n'est pas le résultat d'une erreur humaine simple, mais d'une attaque sophistiquée. Le groupe d'extorsion ShinyHunters serait à l'origine de la brèche. Les attaquants ont exploité une vulnérabilité critique de type injection SQL (CVE-2026-72898) dans Metabase, une plateforme d'analyse de données tierce utilisée par ShipMonk. Avec un score CVSS de 10.0, cette faille représentait un risque maximal, permettant un accès non autorisé aux bases de données clients.

Il est crucial de noter que l'infrastructure propre de Trezor, ainsi que le firmware des appareils, n'ont jamais été touchés. Les clés privées, les phrases de récupération (seed phrases) et les sauvegardes de portefeuilles restent totalement hors de portée des pirates, car elles ne transitent jamais par les systèmes de logistique.

Du phishing numérique au ciblage physique

Si les fonds sont en sécurité, le risque pour l'utilisateur final est loin d'être nul. La possession d'une adresse postale associée à l'achat d'un hardware wallet transforme une tentative de phishing générique en une attaque ciblée et crédible. L'exposition des adresses permet aux fraudeurs de passer au niveau supérieur : l'envoi de courriers physiques ou l'usurpation d'identité via des coursiers.

Un attaquant peut désormais envoyer une lettre officielle imitant une banque, une plateforme d'échange ou Trezor lui-même, en mentionnant le numéro de commande exact pour instaurer la confiance. L'objectif final reste le même : manipuler la victime pour qu'elle divulgue sa phrase de récupération. C'est ce que certains experts appellent le phishing IRL (In Real Life), où la connaissance d'un détail physique valide la légitimité apparente de l'escroquerie.

Mesures de réaction et nouvelles stratégies

Trezor a procédé à la notification directe des clients concernés et a insisté sur une règle d'or : aucun membre de l'équipe ne demandera jamais une phrase de sauvegarde. Pour limiter les risques futurs, l'entreprise a annoncé une évolution de son modèle de distribution. Dès septembre, Trezor prévoit de mettre en place un système de livraison anonyme en Europe, avant de déployer cette solution aux États-Unis d'ici la fin de l'année 2026.

Cette transition vers l'anonymisation des livraisons montre que le fabricant reconnaît la dangerosité du lien entre identité réelle et possession d'actifs numériques. En supprimant le besoin de stocker des adresses nominatives chez des prestataires tiers, Trezor cherche à briser la chaîne d'attaque utilisée par des groupes comme ShinyHunters.

L'impact pour le tissu entrepreneurial français

Pour les entreprises françaises, notamment les startups de la FinTech et les acteurs de l'IA, cet incident est un cas d'école sur la responsabilité partagée. Dans le cadre du RGPD et avec l'entrée en vigueur progressive de l'AI Act, la gestion des données confiées aux sous-traitants devient un risque juridique et opérationnel majeur. Le fait que ShipMonk ait confirmé par écrit la suppression de données tout en les conservant expose Trezor à un risque réputationnel sévère.

Dans le contexte de France 2030, où la souveraineté numérique est un axe prioritaire, cet événement souligne la nécessité de privilégier des partenaires logistiques et cloud capables de prouver techniquement la destruction des données. Les PME françaises doivent comprendre que la sécurité d'un produit (le hardware wallet) ne suffit pas si la chaîne de distribution est le maillon faible. L'audit des prestataires ne peut plus se limiter à une signature contractuelle ; il doit intégrer des audits de conformité périodiques pour éviter que des données obsolètes ne deviennent des armes entre les mains de cybercriminels.

Questions fréquentes

---

Sources: Thehackernews, Yahoo, Breachhistory ·