Community Trust ScoreVérifié
Trezor a un sérieux problème. La société praguoise, connue pour ses portefeuilles matériels crypto, vient d’admettre que la fuite de données annoncée cet été est bien plus large qu’elle ne le disait au départ — 67 000 clients américains supplémentaires ont vu leurs noms, e-mails, numéros de téléphone, adresses de livraison et numéros de commande partir dans la nature.
Les données en question viennent de commandes passées entre novembre 2019 et août 2021. Donc pas des commandes récentes. Des données qui auraient dû, selon Trezor, être détruites depuis longtemps. Le partenaire logistique ShipMonk avait donné des assurances écrites — conformes au contrat, selon Trezor — qu’il effacerait ces informations. Il ne l’a pas fait. Et c’est là que tout déraille.
En août, Trezor avait signalé une première fuite touchant 11 742 clients de plusieurs pays, dont les États-Unis, le Royaume-Uni et le Brésil. On pensait que c’était limité. Pas vraiment. La nouvelle annonce multiplie l’ampleur par presque six, et ça change tout en termes de risque pour les clients concernés.
ShipMonk au Cœur du Problème
Le partenariat avec ShipMonk — qui gère le traitement des commandes pour Trezor — est directement en cause. Trezor dit avoir reçu des garanties écrites de suppression des données. ShipMonk n’a pas supprimé. Point. La société mère de Trezor, SatoshiLabs, a ouvert une enquête sur l’incident, mais aucune conclusion publique n’a encore été partagée.
Ni Trezor ni ShipMonk n’ont répondu aux questions sur la situation. Pas de communiqué conjoint, pas d’explication de ShipMonk sur pourquoi les données sont restées. Flou total du côté de l’opérateur logistique.
Et y a un autre chiffre qui passe presque inaperçu : 1 947 clients ont en plus vu leurs noms, villes et e-mails compromis. Un groupe distinct, probablement avec une exposition plus limitée, mais touché quand même.
Trezor dit contacter directement tous les clients impliqués. C’est le minimum. Mais ça ne règle pas la question centrale : comment des données censées être effacées contractuellement sont-elles encore accessibles des années après ?
Le Précédent Ledger et ce que ça Coûte en Confiance
L’incident rappelle ce qui s’est passé avec Ledger en 2020. Le concurrent direct de Trezor avait alors subi une fuite via Global-e, un partenaire de paiement. Les clients Ledger avaient reçu des emails leur signalant la brèche — et pendant des mois après, certains d’entre eux ont signalé des tentatives de phishing ciblées, des menaces, des arnaques personnalisées utilisant leurs adresses physiques. La fuite de données dans le secteur du hardware crypto, c’est pas juste une ligne dans un rapport RGPD. C’est un risque physique, parce que les gens savent que tu détiens probablement des actifs numériques.
Trezor sait ça. D’où probablement l’urgence de contacter les 67 000 clients directement plutôt que de laisser l’info filtrer via les médias.
Le problème avec les fuites liées à des sous-traitants, c’est que le fabricant perd le contrôle dès que les données quittent son infrastructure. ShipMonk gère la logistique — pas la crypto, pas la sécurité des wallets. Mais il traite des données clients sensibles d’une entreprise dont les acheteurs sont, par définition, des détenteurs d’actifs numériques. C’est une cible de choix.
SatoshiLabs continue son enquête. Pas de calendrier annoncé, pas de détails sur ce que ça implique concrètement pour le partenariat avec ShipMonk. Est-ce que Trezor va couper les ponts ? Probablement à l’étude. Pas clair encore.
Ce qui est clair : la chaîne de responsabilité entre un fabricant de hardware et ses partenaires logistiques tiers est un angle mort énorme dans l’industrie. Trezor n’est pas le premier à en faire les frais. Il ne sera probablement pas le dernier non plus.
Les clients touchés — les 67 000 comme les 11 742 annoncés en août — doivent s’attendre à recevoir une communication directe de Trezor. La société dit l’avoir fait ou être en train de le faire. Ce qu’ils font avec cette info ensuite, c’est leur choix. Mais changer d’adresse e-mail, activer la double authentification partout, rester attentif aux tentatives de phishing ciblées — c’est le minimum dans ce genre de situation.
SatoshiLabs n’a pas dit quand l’enquête se terminera. ShipMonk n’a pas dit pourquoi les données n’ont pas été effacées. Et 67 000 personnes attendent des réponses que personne ne semble pressé de donner.
Questions Fréquentes
Combien de clients Trezor ont été touchés par cette fuite de données ?
Au total, 67 000 clients américains supplémentaires sont concernés, en plus des 11 742 clients annoncés lors d’une première divulgation en août. Par ailleurs, 1 947 clients ont vu leurs noms, villes et e-mails compromis séparément.
Quelle période couvrent les données exposées dans la fuite Trezor ?
Les données proviennent de commandes passées entre novembre 2019 et août 2021, et incluent noms, e-mails, numéros de téléphone, adresses de livraison et numéros de commande.
Pourquoi ShipMonk est-il au cœur de l’incident Trezor ?
ShipMonk, partenaire logistique de Trezor, avait donné des assurances écrites qu’il supprimerait les données clients conformément à leur contrat. Il ne l’a pas fait, ce qui a conduit à l’exposition des informations de dizaines de milliers de clients.
Pourquoi c'est important
Cette fuite de données soulève des préoccupations majeures concernant la sécurité des informations personnelles dans l'écosystème des cryptomonnaies, un secteur déjà fragile en matière de confiance des utilisateurs. Alors que les cryptomonnaies continuent de gagner en popularité, des incidents de ce type pourraient dissuader de potentiels investisseurs et utilisateurs de se tourner vers des solutions de stockage matériel, essentielles pour la protection des actifs numériques. De plus, cela met en lumière la nécessité pour les entreprises de renforcer leurs protocoles de sécurité afin de protéger les données sensibles de leurs clients.
