Fuite de données Trezor : 13 689 clients exposés après une brèche chez ShipMonk

Le 13 août 2026, Trezor a révélé que ShipMonk, l'un de ses prestataires d'expédition et de logistique, avait été victime d'une fuite de données exposant les informations personnelles de 13 689 clients ayant commandé un produit Trezor entre le 10 mai et le 8 août 2026 . ShipMonk a informé Trezor de cet accès non autorisé le 10 août .

Cette brèche n'a pas compromis l'infrastructure propre de Trezor, ni ses appareils, son firmware ou l'application Trezor Suite. Aucune clé privée, phrase de récupération (seed phrase), code PIN, mot de passe ou coordonnées bancaires n'a été dérobé . Cependant, les données exposées sont considérées comme particulièrement dangereuses dans l'univers des cryptomonnaies, car elles créent une liste vérifiée de propriétaires de hardware wallets, avec leur adresse personnelle .

Quelles données ont été exposées ?

La fuite a concerné deux groupes de clients, avec des niveaux d'exposition différents :

• 11 742 clients — nom complet, adresse e-mail, numéro de téléphone et adresse de livraison/personnelle ont été intégralement exposés .
• 1 947 clients — nom, ville et adresse e-mail uniquement (données partielles) .
• Les numéros de commande ont également été divulgués .

Pourquoi le périmètre était-il limité ?

La brèche s'est produite exclusivement dans les systèmes de ShipMonk. L'infrastructure de Trezor (serveurs, appareils, firmware, application Trezor Suite) n'a pas été touchée . Aucune donnée sensible liée aux cryptomonnaies (clés privées, seed phrases, codes PIN) n'a été compromise . Les clients concernés habitent dans sept pays : États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie et Portugal .

Quels risques pour les clients concernés ?

Le principal risque est celui d'attaques de phishing et d'ingénierie sociale ciblées. Comme les données divulguées identifient clairement des propriétaires de hardware wallets Trezor et incluent leurs adresses personnelles, les attaquants peuvent élaborer des arnaques très crédibles — par courrier postal, téléphone, SMS ou e-mail — en se faisant passer pour le support Trezor ou d'autres entités de confiance .

Ces données sont particulièrement dangereuses car elles fournissent une liste « vérifiée » de détenteurs de cryptomonnaies à des adresses connues, rendant les victimes plus susceptibles de tomber dans le piège de communications frauduleuses .

Quelles mesures Trezor a-t-il annoncées ?

• Enquête immédiate — Trezor indique enquêter conjointement avec ShipMonk et avoir informé les autorités compétentes .
• Avertissements aux clients — Trezor a publié un article de blog et un message sur X (anciennement Twitter) pour inviter tous les clients concernés à redoubler de vigilance face aux tentatives de phishing .
• Conseils de sécurité — Trezor rappelle qu'il ne demandera jamais vos seed phrases, mots de passe ou codes PIN par e-mail, téléphone ou SMS, et exhorte les utilisateurs à n'utiliser que les canaux officiels du support .
• Pas d'action obligatoire — Trezor n'a pas imposé de réinitialisation de mot de passe, de service de surveillance de crédit ni de notification individuelle au-delà de cette communication publique. Il est conseillé aux clients concernés de se méfier des communications non sollicitées.

Que doivent faire les clients concernés ?

Si vous avez commandé un appareil Trezor entre le 10 mai et le 8 août 2026 et que vous résidez dans l'un des sept pays touchés, suivez ces précautions :

• Méfiez-vous des messages non sollicités — Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes d'e-mails, SMS ou messages sur les réseaux sociaux inattendus prétendant venir de Trezor.
• Vérifiez les contacts du support — Utilisez uniquement les canaux officiels du support Trezor, listés sur le site web de l'entreprise. Trezor ne vous demandera jamais votre seed phrase, votre code PIN ou votre mot de passe.
• Surveillez les arnaques par courrier postal — Comme vos adresses personnelles ont été exposées, soyez attentif aux lettres ou colis frauduleux conçus pour ressembler à un envoi de Trezor.
• Signalez les tentatives de phishing — Signalez toute communication suspecte se faisant passer pour Trezor.

Les appareils Trezor et les fonds en cryptomonnaies qu'ils sécurisent restent intacts. Le risque se limite à une utilisation malveillante des données personnelles dans le cadre d'attaques d'ingénierie sociale .