Crypto : 67 000 adresses de clients Trezor ont fuité. Pas par Trezor.

Celle-là, elle est belle, et elle ne raconte pas du tout ce que tu crois.

Hier, Trezor a confirmé que la fuite de données annoncée mi-août est beaucoup plus large que ce qu'on pensait. 67 000 clients américains de plus, avec leur nom, leur adresse électronique, leur numéro de téléphone, leur adresse de livraison et leur numéro de commande. Des commandes passées entre novembre 2019 et août 2021.

Trezor, pour ceux qui ne connaissent pas, c'est un des grands fabricants de ces petites clés en plastique qui gardent les cryptomonnaies hors ligne. Ses serveurs n'ont pas été touchés. Ses appareils n'ont aucun problème. Aucun bitcoin n'a bougé.

Et pourtant, si tu as commandé un Trezor en 2020, il y a de bonnes chances que quelqu'un sache aujourd'hui où tu habites, et qu'il sache aussi pourquoi ton adresse est plus intéressante que celle du voisin.

Le coffre n'a pas bougé d'un millimètre. C'est l'étiquette du colis qui traîne dans la rue.

La bonne nouvelle d'abord, parce qu'elle est solide

Ces appareils marchent sur une idée simple : le secret qui commande ton argent ne doit jamais toucher un ordinateur relié à Internet. Il est fabriqué dans la petite boîte, il reste dans la petite boîte, et tu le recopies une fois sur un bout de papier que tu ranges quelque part. Le fabricant ne le connaît pas. Le transporteur non plus. Personne, sauf toi.

Donc rien, absolument rien de ce qui a fuité ne permet de toucher un centime. Ce n'est pas une formule de communication prudente, c'est mécanique : le secret n'était pas dans les fichiers volés, parce qu'il n'est nulle part ailleurs que chez toi.

Et honnêtement, c'est la démonstration que ces trucs servent à quelque chose. Le fabricant se fait vider ses fichiers clients et ses clients ne perdent pas un euro. Essaie de faire pareil avec un compte en ligne. Ce n'est d'ailleurs pas toujours aussi propre : il y a un mois, je racontais ici comment plus de 1 800 bitcoins sont partis d'appareils du même genre sans que personne en ouvre un seul, à cause d'une option de compilation mal réglée chez un concurrent. Là, rien de tel. L'appareil a fait exactement son travail.

Sauf qu'un mot de passe, ça se change

Une adresse postale, non.

C'est toute la différence entre cette fuite et celles auxquelles on est habitués. D'habitude, on te vole une donnée de connexion, tu la remplaces, tu râles vingt minutes et c'est réglé. Ici, on a volé des morceaux de ta vie réelle : ton nom, ta porte d'entrée, ton téléphone. Tu ne déménages pas parce qu'un entrepôt s'est fait pirater.

Et surtout, ces informations arrivent avec une étiquette collée dessus. Elles ne disent pas seulement « cette personne habite ici ». Elles disent « cette personne s'est intéressée aux cryptomonnaies il y a cinq ans et a payé pour les mettre à l'abri ».

À gauche, ce que tu peux remplacer en deux minutes. À droite, ce que tu ne remplaceras jamais.

Le risque immédiat, et de très loin le plus probable, c'est l'arnaque sur mesure. Un message qui connaît ton vrai numéro de commande, ton vrai modèle, ta vraie adresse, et qui te demande de « vérifier ton portefeuille » sur un site qui ressemble à s'y méprendre au bon. Quand un escroc connaît trois vrais détails sur toi, il n'a plus besoin d'être doué.

Le deuxième scénario, plus rare mais celui qui fait peur au milieu, c'est le colis. Un appareil de remplacement que tu n'as pas commandé, qui arrive dans un joli emballage, et qui est trafiqué. Si ça t'arrive, tu ne le branches pas, tu ne l'ouvres même pas.

Après, gardons la tête froide : on parle de gens qui ont acheté un appareil il y a cinq ou six ans, et une bonne partie d'entre eux ne l'ont probablement même plus. Ce n'est pas une raison pour hausser les épaules, ce n'est pas une raison pour paniquer non plus.

Comment on fuite quand on ne s'est pas fait pirater

Voilà le morceau que je trouve vraiment intéressant, et il n'a rien à voir avec les cryptomonnaies.

Tu commandes chez un vendeur. Ce vendeur ne fait pas les colis lui-même, il confie ta fiche à un entrepôt qui emballe et expédie à sa place. Cet entrepôt, pour savoir combien de colis il sort par jour et par région, branche sur son fichier client un logiciel de tableaux de bord, un truc qui transforme des lignes en jolis graphiques pour la réunion du lundi. Ça fait trois maisons. Toi, tu n'en connais qu'une.

Trois sociétés se partagent ton adresse. Tu en as choisi une.

C'est la troisième qui a laissé la fenêtre ouverte. L'éditeur du logiciel de graphiques a prévenu l'entrepôt le 6 août qu'une faille de son outil avait servi à atteindre des données clients. L'entrepôt a constaté l'intrusion le 10. Trezor a prévenu ses clients le 13.

Trois jours entre le constat et l'annonce publique, avec le nom du sous-traitant écrit noir sur blanc, ça mérite d'être signalé. La moitié des boîtes de la planète auraient écrit « un partenaire logistique » et fermé le dossier.

Et là, le détail qui fait vraiment mal

Ces commandes de 2019 à 2021 n'auraient jamais dû se trouver là.

Trezor explique avoir reçu à plusieurs reprises, par écrit, l'assurance que ces vieilles données avaient bien été effacées, comme le prévoyaient le contrat et sa propre règle de conservation. Elles étaient toujours là. Cinq ans plus tard, bien au chaud, dans une base que plus personne ne regardait.

Et ce n'est pas un détail de paperasse, c'est toute l'affaire. Sans ces 67 000 lignes fantômes, la fuite s'arrêtait aux quelque 13 000 personnes qui avaient commandé cet été. Le fichier qui a fait le plus de dégâts est celui qui n'était pas censé exister.

Le certificat de destruction, en haut. Les cartons, en dessous. Personne n'a jamais soulevé le couvercle.

Ça, ça devrait t'intéresser même si tu n'as jamais touché une cryptomonnaie de ta vie. Une case cochée dans un contrat, une attestation reçue par mail, une politique de conservation affichée sur un site, ça n'efface strictement rien. Ce qui efface, c'est quelqu'un qui lance la suppression et quelqu'un d'autre qui va vérifier qu'elle a eu lieu. Hier je parlais justement d'Anthropic, qui a passé un été à se demander où stocker un mois de conversations de ses clients. La vraie question, dans les deux histoires, c'est la même : qui détient quoi, où, et depuis combien de temps sans que personne ne le sache.

Tu fais quoi, concrètement

Rien à changer sur ton appareil, il va très bien. En revanche, quatre réflexes.

Aucun fabricant, jamais, ne te demandera les douze ou vingt-quatre mots de ta phrase de récupération. Ni par mail, ni au téléphone, ni sur un site, ni pendant une mise à jour, ni « pour vérifier que tout va bien ». Un message qui te les demande est une arnaque, point final, il n'y a pas d'exception à chercher.

Méfie-toi particulièrement d'un message qui connaît ton numéro de commande ou le modèle exact que tu as acheté. C'est précisément ce que la fuite vient d'offrir aux escrocs, et c'est ce qui fait qu'on y croit.

Un colis que tu n'as pas commandé et qui contient du matériel, il repart ou il finit à la poubelle. Il ne se branche pas.

Et le réflexe général, celui que je m'applique désormais : quand tu achètes un objet qui dit quelque chose de toi, regarde s'il y a un point relais. Ton adresse ne partira pas dans les fichiers de trois sociétés dont tu ignores le nom.

Ce qui me reste de cette histoire

L'appareil a fait son travail à la perfection, et ça n'a servi à rien.

Tu peux mettre ton or dans le meilleur coffre du monde, si la liste des gens qui ont acheté ce coffre traîne sur le trottoir avec les adresses dedans, tu n'as pas résolu ton problème, tu l'as déplacé. Et c'est le genre de chose sur laquelle tu n'as aucune prise : ni toi ni Trezor n'avez choisi que le vieux fichier de 2019 dorme encore quelque part en 2026.

Alors combien il en reste, des listes comme celle-là, chez des sous-traitants de sous-traitants, avec une belle attestation de destruction bien rangée dans un dossier que personne ne rouvrira jamais ? Franchement, je préfère ne pas savoir !

Sources

• Trezor : Recent customer data exposed in shipping provider incident, la communication officielle du fabricant, la nature des données exposées et les assurances écrites reçues sur la suppression des anciennes commandes
• The Block : Trezor says ShipMonk breach affected another 67,000 customers, 4 septembre 2026, le chiffre des 67 000 clients américains et la période des commandes concernées
• CyberInsider : Trezor says data of another 67,000 US customers exposed in breach, le détail de la première annonce du 13 août, les 11 742 et 1 947 clients concernés et les pays touchés
• Cyber Security News : Trezor confirms ShipMonk data breach, la chronologie de l'incident et la faille de l'outil d'analyse utilisé par le prestataire logistique