Trezor Hack : d’abord 13 689 clients exposés, puis environ 67 000 de plus

Mise à jour (1er novembre 2026) : Depuis la seconde vague ShipMonk, Trezor a signalé deux autres incidents. Le 9 septembre 2026, un acteur non autorisé a exploité un incident de sécurité chez Brevo, le prestataire de newsletter, pour envoyer depuis le compte de Trezor un e-mail d’hameçonnage intitulé « Critical Security Alert: STM32 Entropy Vulnerability » à environ 347 000 abonnés ; selon le communiqué de Trezor (mis à jour le 17 septembre), 347 149 adresses e-mail ont été exportées, Trezor a neutralisé le domaine du lien en 20 minutes et environ 2 500 personnes avaient cliqué entre-temps. Le 30 octobre 2026, Trezor a mis en garde contre un implant signalé dans un Trezor Safe 5 acheté en août par un client en Indonésie chez CryptoBilis, revendeur officiel en Asie du Sud-Est jusqu’en octobre ; Trezor n’avait pas encore examiné l’appareil lui-même, mais juge le signalement crédible. Toute personne ayant acheté chez CryptoBilis depuis mars 2026 doit transférer ses fonds vers un portefeuille nouvellement créé et peut obtenir un appareil de remplacement ou un bon d’achat. Pour les personnes touchées par ShipMonk, rien ne change : celui qui n’a pas reçu d’e-mail de Trezor n’est pas concerné.

Situation au 30 septembre 2026 : une seconde vague avec environ 67 000 personnes concernées de plus

Le chiffre de 13 689 personnes concernées dont traite cet article est dépassé. Le 4 septembre 2026, Trezor a complété son communiqué sur l’incident : le 2 septembre, ShipMonk a indiqué que la fuite était plus importante qu’annoncé. Elle contenait aussi des données de commande issues de la collaboration antérieure, entre novembre 2019 et août 2021, alors que Trezor affirme s’être fait confirmer à plusieurs reprises par écrit leur suppression. Environ 67 000 clients supplémentaires aux États-Unis sont concernés, avec à chaque fois nom, adresse e-mail, numéro de téléphone, adresse de livraison et numéro de commande.

La même règle que pour la première vague s’applique : Trezor a informé directement par e-mail toutes les personnes concernées, et celui qui n’a pas reçu un tel e-mail n’est pas concerné, selon le fabricant. Les appareils eux-mêmes sont sûrs, d’après Trezor ; le risque réside dans les faux e-mails, appels et courriers qui exploitent les données divulguées. Pour distinguer une vraie notification d’une fausse, consultez Fuite de données Trezor : suis-je concerné et que faire ?.

Les sections ci-dessous reflètent la situation au 13 août 2026.

Trezor a confirmé le 13 août 2026 qu'un de ses prestataires logistiques avait subi une fuite de données exposant les informations de commande de milliers d'acheteurs de portefeuilles matériels. Aucune clé privée n'a été touchée, aucun appareil n'a été compromis. Le jeu de données dérobé n'en reste pas moins l'un des plus dangereux qui soient dans la crypto : une liste vérifiée de personnes possédant un hardware wallet, accompagnée de l'adresse à laquelle il a été livré.

Trezor Hacking: Que s'est-il passé exactement chez ShipMonk ?

Le lundi 10 août 2026, le partenaire logistique ShipMonk a informé Trezor qu'un acteur non autorisé avait accédé à des systèmes contenant des données de commande client. Trezor a rendu l'incident public trois jours plus tard, le 13 août.

ShipMonk stocke les produits Trezor et expédie les colis vers les clients aux États-Unis, au Royaume-Uni et sur plusieurs autres marchés. Pour livrer un colis, le prestataire a besoin du nom du destinataire, de son adresse de livraison, de son numéro de téléphone, de son adresse e-mail et du numéro de commande. C'est précisément ce jeu de données qui a fuité.

Le détail chiffré publié par Trezor :

• 11 742 clients avec exposition complète : nom, e-mail, numéro de téléphone et adresse de livraison
• 1 947 clients avec exposition partielle : nom, ville et e-mail
• 13 689 personnes concernées au total

L'enquête est toujours en cours. Selon Trezor, ShipMonk a sécurisé les systèmes touchés et renforcé ses dispositifs de sécurité depuis l'incident.

Êtes-vous concerné par cette fuite de données ?

La fuite se limite aux nouveaux clients ayant reçu une commande entre le 10 mai et le 8 août 2026, dans sept pays : États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie et Portugal.

Tout ce qui est antérieur avait déjà disparu. Trezor applique une politique de conservation de 90 jours et impose contractuellement à ses partenaires logistiques de supprimer ou d'anonymiser les données de commande 90 jours après la livraison. C'est cette seule règle qui explique pourquoi l'exposition s'arrête à environ 13 700 personnes plutôt qu'à l'ensemble des acheteurs depuis la création de la société.

Un test simple permet de savoir où vous en êtes : Trezor a écrit directement à chaque client concerné depuis l'adresse help@trezor.io. Si ce message ne figure pas dans votre boîte de réception, vous n'êtes pas sur la liste. Et voilà l'avertissement qui compte le plus : les escrocs vont imiter cette notification dans les jours qui viennent.

Trezor a-t-il été piraté et les appareils sont-ils toujours sûrs ?

Non, et oui. Il s'agit d'une compromission de prestataire, pas d'une compromission de portefeuille.

Les systèmes de Trezor n'ont pas été touchés. Aucune clé privée, aucune sauvegarde de portefeuille, aucune phrase de récupération et aucun micrologiciel n'ont été concernés, et l'incident en lui-même ne met aucun fonds en danger. Le matériel a tenu. Le point faible se situait dans la chaîne commerciale qui l'entoure, pas dans le produit.

La distinction est techniquement exacte. En pratique, elle console peu. Les attaquants disposent désormais de données de ciblage d'une qualité redoutable : une liste fraîche de détenteurs de crypto confirmés, associée à de vraies adresses postales et à de vrais numéros de téléphone. Une adresse e-mail qui fuite est une nuisance. Un nom, une adresse personnelle et un numéro de téléphone réunis désignent en revanche une personne précise, derrière une porte précise, qui détient très probablement des cryptomonnaies.

Trezor souligne qu'il s'agit de la première fuite depuis la création de l'entreprise en 2013 à exposer des numéros de téléphone et des adresses de livraison. Un incident distinct survenu en janvier 2024, via un portail de support tiers, avait exposé les coordonnées de près de 66 000 utilisateurs, mais sans adresses postales.

Pourquoi cette fuite est-elle plus dangereuse qu'une fuite de mots de passe ?

Parce que le secteur connaît déjà la suite du scénario. Il se joue depuis 2020.

Après la compromission de la base e-commerce de Ledger, environ 272 000 fiches clients comportant noms, adresses et numéros de téléphone ont été publiées. Les conséquences ne se sont jamais vraiment arrêtées : vagues d'e-mails et de SMS de phishing, faux portefeuilles matériels envoyés à des domiciles en 2021, courriers papier contenant des QR codes piégés, appels téléphoniques passés par des interlocuteurs feignant de connaître personnellement leur cible. Certains ont reçu des demandes de rançon assorties de menaces de violence.

Le risque physique n'a plus rien de théorique. CertiK a vérifié 52 agressions physiques contre des détenteurs de crypto dans le monde au premier semestre 2026, contre 39 un an plus tôt, les cambriolages à domicile ayant supplanté les enlèvements comme méthode la plus courante. Chainalysis évalue à plus de 30 millions de dollars les sommes dérobées lors de ces agressions sur la même période, ce qui place 2026 en passe de dépasser le total de l'année 2025, soit environ 58 millions de dollars.

Les prestataires se révèlent régulièrement être le maillon faible. En janvier 2026, le prestataire de paiement Global-e a laissé fuiter les données de commande de clients Ledger. Quelques jours plus tard, des attaquants envoyaient des e-mails de phishing annonçant une fusion imaginaire entre Ledger et Trezor, personnalisés à l'aide de ces mêmes données. Un détail dérangeant concernant ShipMonk : le prestataire est certifié SOC 2 Type II, un standard de sécurité audité. Cela n'a rien changé.

Que faire si vous êtes client Trezor ?

Les recommandations de Trezor sont brèves, et l'expérience des dernières années montre qu'elles fonctionnent :

• Ne saisissez jamais votre sauvegarde de portefeuille ou votre phrase de récupération sur un site web. Aucune entreprise sérieuse ne vous la demandera, Trezor y compris.
• Traitez l'urgence comme un signal d'alarme. Tout message exigeant une action immédiate ou réclamant des informations personnelles doit être considéré comme hostile jusqu'à preuve du contraire.
• Recoupez systématiquement avec les canaux officiels, à savoir le blog Trezor et les comptes vérifiés sur les réseaux sociaux. Saisissez les adresses à la main plutôt que de cliquer sur des liens.
• Attendez-vous à être contacté par tous les canaux, pas seulement par e-mail. Faux appels, SMS, courriers papier et usurpation de banques, de plateformes d'échange ou de Trezor lui-même font partie du répertoire.
• Réévaluez votre sécurité physique si votre adresse complète a été exposée. Évoquer publiquement ses avoirs, a fortiori sous sa véritable identité, devient nettement plus risqué.

Pour vérifier votre situation ou signaler un problème, le support Trezor reste joignable directement depuis le site officiel.

En quoi consiste la livraison anonyme annoncée par Trezor ?

Trezor accélère le déploiement d'une option de livraison conçue pour rompre le lien entre l'achat d'un portefeuille matériel et l'identité réelle de l'acheteur. Le dispositif prévoit :

• Un parcours de commande dédié
• Un pseudonyme ou un identifiant à la place du nom réel
• Un retrait en consigne automatisée
• Un emballage neutre avec un expéditeur générique, le transporteur ne transmettant qu'un code de retrait par e-mail ou SMS
• La suppression automatique des identifiants d'expédition après livraison

Trezor visait une disponibilité dans l'Union européenne dès septembre 2026 et aux États-Unis d'ici la fin 2026, et présentait ce chantier comme sa priorité du moment. Au 1er novembre 2026, le communiqué de Trezor mentionne toujours ces objectifs ; l’entreprise n’avait pas encore annoncé sur son blog le lancement de la livraison anonyme, tandis que ses pages d’aide indiquent que la boutique Trezor livre déjà en point relais et en consigne automatique.

En attendant, l'entreprise conseille d'utiliser une adresse e-mail sans lien avec votre identité, de payer en crypto ou avec une carte virtuelle à usage unique plutôt qu'avec une carte bancaire, et de vous faire livrer en boîte postale lorsque c'est possible.