Crypto : Une fuite chez un sous-traitant de Trezor expose les coordonnées de 13 689 clients

Trezor vient d’avertir 13 689 clients après une fuite de données chez l’un de ses prestataires logistiques. Noms, emails, numéros de téléphone et adresses de livraison ont été exposés selon les utilisateurs concernés. Les wallets n’ont pas été piratés et aucune clé privée n’a fuité. Bonne nouvelle donc pour les cryptos. Un peu moins pour les données personnelles.

Trezor confirme la fuite de 13 689 clients

L’incident ne vient pas directement de Trezor. Il concerne un prestataire utilisé pour l’expédition de ses hardware wallets. Le fabricant avait déjà mis ses utilisateurs en garde contre de faux emails de support. 11 742 clients sont les plus exposés. Leurs noms, adresses de livraison, emails et numéros de téléphone se trouvent dans les données compromises.

Pour 1 947 autres personnes, la fuite concerne uniquement le nom et l’adresse email. Total : 13 689. Les clients concernés se trouvent aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal. Trezor précise que les commandes touchées remontent aux 90 jours précédant le 8 août.

Le fabricant insiste surtout sur ce qui n’a pas fuité. Aucun wallet backup, aucune phrase de récupération et aucune clé privée ne figure dans les données concernées. Les appareils Trezor restent donc sécurisés.

Ce n’est pas un détail. Une personne qui récupère un nom, un email et une adresse ne peut pas directement déplacer les bitcoins ou les autres cryptos stockés sur le wallet. Elle dispose en revanche de suffisamment d’informations pour préparer autre chose.

Le phishing devient le principal risque dans la crypto

Les propriétaires de hardware wallets sont des cibles intéressantes pour les fraudeurs. Ils possèdent déjà des cryptos et accordent assez d’importance à leur sécurité pour investir dans un appareil spécialisé.

Avec une adresse email, un pirate peut envoyer un faux message Trezor. Avec le nom et le téléphone, il peut personnaliser son approche. Et avec l’adresse de livraison, il sait en plus où le wallet a été envoyé. La tentative devient tout de suite plus crédible.

Le secteur connaît déjà ce scénario. Des clients Ledger avaient été visés par du phishing après une fuite liée au prestataire Global-e.

Les fraudeurs cherchent généralement à récupérer la phrase de récupération. Faux support technique, fausse mise à jour urgente, problème imaginaire sur le wallet : les prétextes ne manquent pas. Trezor rappelle donc une règle simple. L’entreprise ne demande jamais le wallet backup d’un client.

Il y a aussi l’adresse physique. Elle ne permet aucune attaque informatique contre le wallet, mais elle révèle potentiellement le domicile d’une personne qui possède des cryptos. Pas idéal. Trezor mène désormais une enquête avec le prestataire concerné et contacte directement les clients dont les informations ont été exposées.

Trezor veut rendre ses livraisons plus anonymes

Cette fuite montre surtout que la sécurité d’un hardware wallet ne s’arrête pas au hardware wallet. L’appareil peut être parfaitement protégé. Il faut tout de même le commander, le payer, l’expédier et le faire arriver quelque part. Plusieurs entreprises peuvent intervenir entre l’achat et la livraison.

Trezor assure avoir imposé des règles de conservation des données à ses partenaires. L’incident s’est produit malgré ces précautions.

Le constructeur travaille maintenant sur une fonction baptisée « Anonymous Delivery ». Le principe devrait permettre de réduire les informations personnelles nécessaires pour recevoir un appareil. Trezor n’a pas encore détaillé entièrement son fonctionnement.

L’idée arrive au bon moment. Les fabricants de wallets sont régulièrement confrontés à des problèmes touchant des services situés autour de leurs produits. Ledger et Trust Wallet ont eux aussi connu plusieurs incidents de sécurité. Les 13 689 clients Trezor n’ont pas perdu leurs cryptos. C’est l’essentiel. Ils devront néanmoins regarder leurs prochains emails et SMS avec un peu plus d’attention. Les fraudeurs n’ont pas obtenu leurs clés. Ils ont obtenu de quoi essayer de les leur faire donner.