L’été 2026 restera gravé dans les annales de la sécurité informatique chez Trezor, le légendaire fabricant de wallets matériels bitcoin. Deux violations de données distinctes, impliquant des partenaires logistiques et un fournisseur d’emails, ont exposé les informations personnelles de plus de 80 000 clients. Retour sur une attaque de chaîne d’approvisionnement aux ramifications multiples pour l’écosystème crypto.
🔑 En bref
- Plus de 80 000 clients Trezor touchés par la violation ShipMonk, dont 67 000 américains supplémentaires révélés en septembre
- Une faille zero-day CVE-2026-72898 (CVSS 10.0) dans Metabase, exploitée par le groupe ShinyHunters
- 347 000 abonnés à la newsletter compromis via le partenaire email Brevo
- Des campagnes de phishing sophistiquées utilisant de fausses alertes de sécurité sur une vulnérabilité STM32
- Trezor confirme que les clés privées et les fonds restent sécurisés sur les appareils
La violation ShipMonk : une faille zero-day à l’origine du breach
Le premier incident a été signalé à Trezor le 10 août 2026. La société a publié sa déclaration publique trois jours plus tard, le 13 août. Les pirates ont obtenu un accès non autorisé aux systèmes de ShipMonk le 8 août, exploitant une vulnérabilité zero-day dans Metabase, une plateforme d’analyse utilisée par l’entreprise logistique. Cette faille, cataloguée CVE-2026-72898, est une injection SQL dans l’endpoint /reset_password de Metabase, notée 10.0 sur l’échelle CVSS. Le groupe d’extorsion ShinyHunters est derrière cette intrusion.
Lors de la première annonce, Trezor a indiqué que 13 689 clients étaient concernés. Parmi eux, 11 742 avaient leurs noms complets, adresses email, numéros de téléphone et adresses de livraison exposés. Les 1 947 autres clients restants avaient une exposition plus limitée, avec seulement leur nom, leur ville et leur adresse email. La fenêtre de commandes affectées s’étendait du 10 mai au 8 août 2026, correspondant à la politique de rétention de données de 90 jours de Trezor. Les clients touchés se trouvaient aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal.
Un mois après, en septembre 2026, Trezor a révélé que le nombre réel de clients américains touchés était bien supérieur. Selon The Hacker News, 67 000 clients américains supplémentaires ont été affectés par la même violation ShipMonk, portant le total à plus de 80 000 clients. Les données exposées pour ces clients incluaient les noms, adresses email, numéros de téléphone, adresses de livraison et numéros de commande entre novembre 2019 et août 2021.
« La violation Trezor résulte d’une attaque de chaîne d’approvisionnement commençant par une vulnérabilité zero-day. En trouvant et en exploitant la faille d’injection SQL dans Metabase, les attaquants ont pu exploiter plusieurs de ses clients, volant des données sensibles et extorquant l’organisation. »
Halborn, firme de sécurité blockchain
Les réponses contradictoires de ShipMonk
Trezor a déclaré avoir demandé à plusieurs reprises et reçu des assurances écrites de ShipMonk confirmant la suppression des données, conformément à leur contrat et politique de données. La société a exprimé sa déception que, malgré ces confirmations, les données n’aient pas été supprimées dans les systèmes de ShipMonk. Un porte-parole de Trezor a indiqué : « Après 90 jours, nous supprimons ou anonymisons toutes les données clients liées à un achat sur notre eShop Trezor. Nous avons choisi 90 jours car c’est la fenêtre la plus courte qui couvre encore l’ensemble du cycle de vie d’une commande : livraison, retours et tout remboursement ou remplacement. Après cela, nous n’avons aucune raison de conserver votre adresse ou numéro de téléphone. »
L’incident Brevo et les campagnes de phishing
Peu après, un deuxième incident est venu s’ajouter. Brevo, le partenaire tiers de Trezor pour les envois d’emails, a été piraté. Selon Protos, environ 347 000 abonnés à la newsletter Trezor ont été touchés. Trezor a précisé que « le système de Brevo ne contient aucun mot de passe, aucune donnée de wallet ni aucune autre information personnelle. » Les pirates ont pu accéder au domaine email de Trezor, qui a depuis été désactivé. Trezor a lancé une enquête.
Des escrocs ont utilisé les données compromises pour envoyer des emails de phishing aux abonnés, les avertissant d’une « Critical Security Alert : STM32 Entropy Vulnerability » et tentant de leur faire divulguer leurs seed phrases de sauvegarde. Cette technique d’ingénierie sociale exploite la confiance des utilisateurs envers les communications officielles de Trezor.
| Incident | Date | Clients touchés | Données exposées |
|---|---|---|---|
| ShipMonk | Août 2026 | 80 000+ | Noms, emails, téléphones, adresses |
| Brevo | Septembre 2026 | 347 000 | Adresses email (newsletter) |
Brevo est également le fournisseur d’emails d’autres firmes crypto, notamment BitBox, CoinTracking, Peach Bitcoin et Blocktrainer, qui ont toutes averti leurs utilisateurs de se méfier des emails de phishing. BitBox a signalé des tentatives de phishing évoquant un bug d’entropie du microcontrôleur, tandis que CoinTracking a vu des tentatives utiliser une violation fabricée pour tromper les utilisateurs.
Contexte : Ledger, Coinkite et les precedents de l’industrie
Malgré ces deux incidents impliquant des partenaires tiers, Trezor a tenu à rassurer : « Ce qui ne s’est pas produit en 12 ans, c’est qu’un appareil Trezor ou Trezor Suite expose les clés ou les fonds de quelqu’un. C’est la partie que nous contrôlons de bout en bout, et c’est la partie qui détermine si vos BTC sont en sécurité. » La société a ajouté qu’elle réduirait la quantité d’informations clients détenues par ses partenaires et examinerait « les relations avec les fournisseurs et les exigences de sécurité à la lumière de cet incident. »
En guise de contexte, Ledger, principal concurrent de Trezor, avait subi en 2020 une violation de sa base de données e-commerce qui avait exposé environ un million d’adresses email et les données de livraison de quelque 270 000 clients. Cet incident avait conduit à des années de campagnes de phishing et à plusieurs braquages physiques documentés de clients Ledger. La même période a été marquée par l’exploitation d’une vulnérabilité de firmware sur les wallets Coldcard de Coinkite, avec un montant de bitcoins dérobé estimé à 116 millions de dollars par TRM Labs.
« Ce n’est pas un bon mois pour les hardware wallets. »
Changpeng Zhao, cofondateur de Binance, sur X
Aucun mouvement significatif du prix du bitcoin n’a été observé en réponse à ces violations. Le bitcoin s’est négocié dans une fourchette de 60 000 à 65 000 dollars pendant la majeure partie du mois d’août 2026, illustrant la résilience du marché face aux incidentes de sécurité touchant les acteurs de l’écosystème.
Conclusion et perspectives
Ces incidents soulignent les risques inhérents aux attaques de chaîne d’approvisionnement dans l’écosystème crypto. Si Trezor a su préserver l’intégrité de ses appareils et la sécurité des fonds de ses utilisateurs, la multiplication des violations chez ses partenaires pose la question de laDue Diligence en matière de sécurité des tiers. La décision de réduire les données clients détenues par les partenaires est un pas dans la bonne direction, mais l’industrie devra collectivement renforcer ses standards de sécurité pour éviter que de tels incidents ne se reproduisent. Les utilisateurs sont invités à rester vigilants face aux emails suspects et à ne jamais partager leurs seed phrases, quel que soit le prétexte avancé.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
