Portefeuille matériel après la fuite : quatre façons de commander sans adresse

Un portefeuille matériel protège vos clés de manière fiable ; votre adresse personnelle, il ne la protège pas. La réponse courte à la question de savoir comment obtenir les deux à la fois : faites livrer l’appareil dans un automate de retrait, dans un bureau de poste ou dans un autre point de retrait, ou achetez-le directement en magasin. Dans la base de commandes du marchand, votre nom figure alors à côté d’un numéro de casier et non à côté de votre porte d’entrée.

Que cette différence ne soit pas une manie de prudents, le mois d’octobre l’a montré. En quelques mois, plusieurs acteurs du secteur de la conservation ont reconnu une fuite de données clients. Pas une seule fois il ne s’est agi de clés ou d’avoirs. Chaque fois, il s’est agi de noms, de numéros de téléphone et d’adresses de livraison de personnes dont il est désormais consigné qu’elles détiennent des actifs crypto.

Pourquoi les clés restent protégées et l’adresse fuit malgré tout

Un portefeuille matériel est un petit appareil qui génère votre clé privée et ne la restitue jamais. La phrase de récupération, cette suite de douze ou vingt-quatre mots le plus souvent, à partir de laquelle toutes les clés peuvent être recalculées, naît sur l’appareil et ne le quitte pas en fonctionnement normal. Lorsque vous validez un virement, la clé ne quitte pas l’appareil ; seule la transaction déjà signée rejoint l’ordinateur. Le marchand auprès duquel vous avez acheté l’appareil n’en voit rien, parce qu’il n’y participe techniquement pas.

Il en ressort un fait rassurant et un fait désagréable. Le rassurant : une intrusion dans la boutique en ligne d’un fabricant ne peut pas toucher vos avoirs. Si vos bitcoins reposent depuis des années sur un tel appareil, un incident de boutique n’impose ni transfert ni réinstallation. Le désagréable : la boutique elle-même est un commerce en ligne tout à fait ordinaire, avec une base clients tout à fait ordinaire. On y trouve prénom, nom, rue, numéro, ville, pays, souvent le numéro de téléphone, l’adresse électronique et la liste des articles commandés avec leur prix.

C’est cette combinaison qui pose problème. Une liste d’adresses volée chez un vendeur de meubles révèle que quelqu’un a acheté un canapé. Une liste d’adresses volée dans la boutique d’un fabricant de portefeuilles révèle que quelqu’un conserve des actifs crypto chez lui, le prix du modèle acheté et donc, en gros, le sérieux de sa démarche. Le fichier constitue une présélection qu’un attaquant devrait sinon établir laborieusement lui-même.

Keystone et Trezor : à quel endroit de la chaîne les données se trouvaient

Keystone indique avoir constaté l’incident le 20 octobre et avoir confirmé le 23 octobre, après vérification auprès de son prestataire de boutique Shopify, qu’un tiers avait eu accès à des informations d’expédition de clients. L’entreprise a rendu l’affaire publique le 24 octobre, accompagnée d’excuses. Selon la société, sont concernés les noms, les coordonnées, les adresses de livraison et les détails de commande, jusqu’aux articles et aux prix. Les données de cartes de paiement, les coordonnées bancaires, les phrases de récupération, les clés privées et les mots de passe de portefeuille n’auraient pas fuité. Combien de clients sont touchés, Keystone ne l’a pas dit à ce jour. Les détails de ce cas figurent dans notre article sur la fuite de données confirmée chez Keystone.

Chez Trezor, le point de fuite se situait un étage plus loin. Le fabricant a annoncé le 13 août que les données de 13 689 clientes et clients étaient exposées, après que son prestataire logistique ShipMonk avait signalé trois jours plus tôt un accès non autorisé. Pour 11 742 personnes concernées, cela couvrait nom, adresse de livraison, numéro de téléphone et adresse électronique, et pour 1 947 autres au moins nom, ville et adresse électronique. Étaient visées des commandes expédiées entre le 10 mai et le 8 août, notamment vers les États-Unis, le Royaume-Uni, la Suède, l’Italie et le Portugal. Début septembre est venue la moitié la plus désagréable : les fichiers volés contenaient aussi d’anciennes données de commande issues d’une collaboration antérieure, de 2019 à 2021, soit environ 67 000 enregistrements supplémentaires pour les seuls États-Unis. Selon Trezor, ces données anciennes auraient dû être supprimées depuis longtemps en vertu du contrat. Ce que les personnes concernées peuvent en faire, nous l’avons consigné dans notre article sur la fuite chez Trezor.

Dans les deux cas, le constat est le même : les appareils et les systèmes des fabricants sont restés intacts. Ce qui a fui, c’est la chaîne qui conduit une commande du formulaire de saisie jusqu’à la porte d’entrée.

Plateforme de boutique, prestataire logistique, outil d’analyse : qui se tient entre le fabricant et la boîte aux lettres

Qui commande un appareil en ligne entretient une relation commerciale avec une seule entreprise. Ses données, elles, en traversent plusieurs. Il y a d’abord la plateforme sur laquelle la boutique fonctionne ; Keystone cite ici Shopify, et Shopify était déjà au centre, en 2020, du plus grand cas de ce type à ce jour. Les noms, adresses électroniques, adresses postales et numéros de téléphone d’environ 272 000 clients de Ledger avaient alors été publiés, chiffre que l’entreprise a plus tard corrigé à près de 292 000, Shopify ayant signalé d’autres personnes concernées. Les données sont apparues en décembre 2020 sur un forum de pirates, avec plus d’un million d’adresses électroniques. Là encore, ni les clés ni les avoirs n’étaient touchés, et là encore cela n’a guère aidé les personnes concernées : au moins un acheteur a raconté plus tard avoir déménagé après des menaces.

Vient ensuite le prestataire d’entreposage et d’expédition, qui emballe la marchandise et la remet. Il a besoin de l’adresse complète, sans quoi il ne peut rien livrer. Dans le cas de ShipMonk, d’après les courriers de notification dont disposait le service spécialisé BleepingComputer, un troisième niveau s’est ajouté : les attaquants ont exploité une faille de l’outil d’analyse Metabase, un logiciel que le prestataire utilise pour ses propres chiffres. L’acheteur d’un portefeuille matériel n’a jamais entendu parler de ce logiciel, et ses données se trouvaient pourtant à sa portée.

Le schéma se décrit donc clairement. Plus la chaîne entre la commande et la boîte aux lettres est longue, plus il existe d’endroits où la même adresse se trouve, et plus il y a de contrats entre vous et l’entreprise qui finira par la perdre. Aucun fabricant ne peut vous garantir que chaque maillon de cette chaîne travaille proprement. Vous pouvez en revanche veiller à ce que l’adresse qui circule dans cette chaîne ne soit pas celle où vous dormez.

Quatre façons de commander, et ce que chacune révèle au marchand

Les quatre voies coûtent le même prix pour l’appareil. Seul diffère le fichier qui en résulte. La première passe par un automate de retrait, la deuxième par une agence du transporteur, la troisième par l’achat en magasin, la quatrième renonce à un appareil physique. Les quatre sont aisément praticables en Allemagne, et aucune n’exige que vous vous présentiez faussement au marchand ou que vous fournissiez de fausses indications : ce ne serait ni nécessaire ni avisé, la garantie et le retour dépendant de données exactes.

L’automate de retrait accepte le colis sans votre adresse personnelle

La voie la plus directe est un automate de retrait. Chez DHL, il s’appelle Packstation ; d’autres transporteurs proposent des points de retrait sous d’autres noms et selon le même principe : vous recevez un numéro de client, indiquez le numéro de l’automate comme destination de livraison et retirez le colis quand cela vous convient. Dans la base du marchand figurent alors votre nom, un numéro postal et l’adresse d’un automate installé sur le parking d’un supermarché. Un attaquant qui met la main sur cette liste sait que vous avez acheté un portefeuille matériel, mais pas où vous habitez.

Pour les destinataires, l’usage ne coûte aucun supplément et l’inscription passe par le compte client du transporteur. Deux limites vont avec. D’abord, votre véritable adresse reste chez le transporteur lui-même, puisque le compte client la connaît ; vous la déplacez donc de nombreux endroits vers un seul. Ensuite, les automates ont des tailles de casier et des délais de garde, ce qui, pour un appareil de la taille d’un paquet de cigarettes, pose rarement problème.

Livraison en agence et bureau de poste : la voie sans compte chez le transporteur

Qui ne souhaite s’inscrire nulle part peut se faire envoyer le colis dans une agence. L’adresse de livraison est alors celle de l’agence, complétée de votre nom ; le retrait se fait avec une pièce d’identité. Le fichier chez le marchand paraît ainsi aussi anodin qu’avec l’automate, et vous n’avez besoin d’aucun compte supplémentaire. Le prix à payer, ce sont les horaires d’ouverture et, parfois, une file d’attente.

Une variante souvent négligée en Allemagne : de nombreux transporteurs proposent de rediriger un envoi vers une agence après coup, tant qu’il est encore en route. Cela n’aide toutefois que partiellement, car le marchand a alors depuis longtemps enregistré votre adresse personnelle. Pour l’objectif qui nous occupe ici, seul compte ce qui est inscrit dans le champ d’adresse au moment de la commande.

L’achat en magasin ne crée aucune donnée de livraison

La voie la plus nette est la plus ancienne. Qui achète l’appareil au comptoir d’un magasin d’électronique ou chez un détaillant spécialisé dans les actifs crypto et paie en espèces ne laisse aucune adresse de livraison, puisqu’aucune livraison n’a lieu. S’y attache toutefois un second arbitrage, débattu depuis des années : la question de savoir si un appareil pris en rayon pourrait avoir été manipulé.

Les fabricants y répondent par des procédés que chacun peut examiner. Les appareils sérieux vérifient au premier démarrage que leur logiciel est authentique, et ils exigent que vous génériez vous-même la phrase de récupération sur l’appareil. Un appareil qui vous présente une phrase déjà rédigée sur un feuillet joint doit être mis au rebut dans tous les cas, qu’il vienne du magasin ou d’un colis. Qui prend cette vérification au sérieux lors de la première installation ne fait pas entrer de danger supplémentaire chez lui avec l’achat en magasin, et s’épargne un fichier.

Le portefeuille logiciel n’a pas besoin d’expédition, mais coûte en sécurité

La quatrième voie contourne le colis. Un portefeuille logiciel sur le téléphone ou l’ordinateur se télécharge, il ne se livre pas, et ne produit donc aucune donnée d’expédition. Pour de petits montants, pour des premiers pas et pour des avoirs servant à payer régulièrement, c’est une solution défendable.

La comparaison ne reste honnête qu’avec son revers. La clé repose là sur un appareil connecté, qui ouvre des fichiers et exécute des extensions. C’est précisément par de telles extensions que des avoirs ont disparu ces derniers mois. Le choix entre les deux formes n’est donc pas un choix entre sûr et non sûr, mais entre deux risques différents : avec l’appareil livré, vous risquez que votre adresse soit connue. Avec l’application téléchargée, vous risquez que votre ordinateur soit compromis. Qui détient des montants plus élevés accepte en règle générale le premier risque et le réduit par la voie de commande.

Ce que la voie de commande ne règle pas : paiement, facture et garantie

Un automate de retrait ne vous rend pas invisible. Trois éléments restent alors chez le marchand. L’adresse de facturation, qui est recoupée avec les données du prestataire de paiement dans la plupart des modes de règlement et doit donc être exacte. L’adresse électronique, par laquelle passent la confirmation de commande et le suivi de livraison. Et la trace de paiement elle-même, dont le nom et la banque peuvent se déduire selon le procédé.

Concrètement : qui ne veut pas non plus divulguer l’adresse de facturation doit recourir à l’achat en magasin. Qui peut vivre avec un nom et une adresse de facturation chez le marchand, mais sans adresse de livraison dans chaque base logistique, est bien servi par la voie une ou deux. La garantie et le droit de rétractation, du reste, ne dépendent d’aucune de ces décisions ; ils s’appliquent quel que soit le lieu de livraison.

Votre nom est déjà sorti : le droit d’accès de l’article 15 du RGPD

Pour toutes celles et ceux qui ont commandé avant octobre, la voie de commande arrive trop tard. En revanche, le droit de la protection des données s’applique, y compris à l’égard de fabricants établis hors d’Europe, dès lors qu’ils livrent des clients dans l’Union européenne. Deux obligations pèsent sur l’entreprise d’elle-même : en vertu de l’article 33 du règlement général sur la protection des données, elle doit notifier une violation de données à l’autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance. En vertu de l’article 34, elle doit en outre informer sans délai les personnes concernées dès qu’il existe un risque élevé pour leurs droits, en des termes clairs et simples, avec des indications sur la nature de la violation, sur ses conséquences probables et sur les mesures prises.

S’y ajoute un droit que vous pouvez exercer vous-même. Le droit d’accès de l’article 15 oblige le marchand à vous indiquer quelles données il traite à votre sujet, d’où il les tient, à qui il les transmet et combien de temps il les conserve. C’est cette troisième question qui est la plus intéressante après les cas récents, car elle met au jour la chaîne de prestataires dont il n’a jamais été question lors de la commande. Un courriel sans formalité à l’adresse figurant dans les mentions légales suffit ; un délai d’un mois est la règle.

Effacement et dommages et intérêts : ce que donnent les articles 17 et 82

De l’accès découle l’étape suivante. Qui n’est plus client peut exiger l’effacement de ses données en vertu de l’article 17 ; les obligations de conservation du droit commercial et fiscal prévalent et concernent surtout les factures, pas chaque liste de diffusion. Les cas de ces derniers mois montrent pourquoi il s’agit de plus que de paperasse : chez Keystone, des acheteurs se sont manifestés dont la commande remontait à plus de deux ans, alors que l’entreprise avait annoncé dans sa politique de confidentialité un effacement au bout de 180 jours. Chez Trezor, d’anciennes commandes des années 2019 à 2021 figuraient dans les fichiers volés, qui selon le fabricant auraient dû contractuellement disparaître depuis longtemps.

Reste la question de l’argent. L’article 82 ouvre aux personnes concernées un droit à réparation, y compris du préjudice immatériel. La Cour fédérale de justice allemande a jugé le 18 novembre 2024, à propos d’une collecte de données chez Facebook, que la simple perte de contrôle, même brève, sur ses propres données à caractère personnel peut constituer un tel préjudice ; la juridiction n’exige pour cela ni usage abusif démontré ni autres conséquences perceptibles. Elle n’a toutefois pas fixé de montant, et la perte de contrôle doit être exposée au cas par cas. Qui y songe devrait conserver le courriel de notification du marchand, car il constitue la preuve la plus simple que ses données figuraient dans le lot concerné.

52 agressions recensées au premier semestre : le risque physique en chiffres

Pourquoi une adresse de livraison pèse plus lourd qu’une adresse électronique peut se chiffrer. La société d’analyse CertiK a recensé 52 agressions physiques confirmées contre des détenteurs d’actifs crypto au premier semestre 2026, après 39 sur la même période un an plus tôt. L’exposition financière recensée est passée, selon la même analyse, de 10,5 à environ 124,1 millions de dollars. La répartition frappe : 39 des 52 cas concernaient l’Europe, 33 la seule France. Le mode opératoire s’est également déplacé, les agressions au domicile passant d’un cas recensé à 20 et les enlèvements de 12 à 16.

Ces chiffres demandent à être mis en perspective, et CertiK le fait elle-même. Le total comprend des demandes de rançon et des virements forcés aussi bien que des avoirs gelés ou récupérés ; ce n’est donc pas une indication du butin réel. La société souligne dans le même temps que de tels faits sont fortement sous-déclarés. Pour apprécier une liste d’adresses divulguée, l’essentiel demeure : qui possède une liste de foyers où se trouvent avec une certaine probabilité des actifs crypto possède une présélection. Comme parade, CertiK recommande entre autres des répartitions dans lesquelles une seule personne ne peut pas disposer seule des avoirs, par exemple un portefeuille multisignature à plusieurs clés, ainsi que des délais sur les retraits et des accords clairs au sein de la famille.

Le procédé après chaque fuite : faux courriels de rappel et d’appareil de remplacement

La conséquence la plus fréquente d’une fuite d’adresses est moins spectaculaire et touche davantage de monde. Keystone a elle-même averti que des escrocs se font passer pour des collaborateurs de l’entreprise et proposent des remboursements ou des appareils de remplacement. Le schéma est le même depuis des années dans ce secteur : arrive un message qui décrit correctement l’incident réel, cite votre nom exact, souvent aussi le modèle commandé, et en tire une offre urgente. Un appareil de remplacement gratuit, une prétendue mise à jour de sécurité, un formulaire d’indemnisation.

La contre-règle est brève et ne connaît pas d’exception. Aucun fabricant et aucun marchand ne demande jamais votre phrase de récupération, ni par courriel, ni par téléphone, ni via un formulaire, pas davantage pour une vérification que pour un remboursement. Qui saisit les mots perd ses avoirs à l’instant où il clique sur envoyer, et définitivement, un virement en blockchain ne pouvant pas être récupéré. Un appareil reçu sans l’avoir demandé doit être mis de côté sans être utilisé et signalé au fabricant. À quoi de tels messages se reconnaissent dans le détail, cela figure dans notre guide sur le phishing après une fuite de données.

Commande d’un portefeuille : le point de retrait ne coûte rien de plus

La protection de vos clés et la protection de votre adresse sont deux tâches distinctes, et aucun appareil n’accomplit la seconde pour vous. Trois étapes suffisent.

1. Changer la destination de livraison avant de commander le prochain appareil. Un automate de retrait ou une agence comme adresse de livraison ne coûte rien et retire à la chaîne la plus longue son fichier le plus précieux. Quel appareil correspond à votre durée de détention et à votre montant figure dans le comparatif des portefeuilles matériels.
2. Renoncer totalement à l’expédition pour les petits montants. Ce que vous déplacez au quotidien n’a pas besoin d’un colis. Quelles applications s’y prêtent et où se situent leurs limites, le comparatif des portefeuilles logiciels le montre.
3. Ne pas tout rattacher à une adresse connue. Une part des avoirs chez un prestataire supervisé réduit ce qui se trouve à la maison et apporte un autre risque qu’il faut connaître ; quelles maisons disposent d’un agrément en Europe figure dans le panorama des plateformes crypto réglementées.

(Au 26 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)