Une fuite de données crypto vient d’exposer les coordonnées complètes d’environ 67 000 clients américains de Trezor. Aucun bitcoin, aucune clé privée et aucune phrase de récupération n’ont été volés. Pourtant, les informations compromises peuvent être extrêmement précieuses pour des escrocs.
Elles associent un nom, une adresse postale, un téléphone et un email à une information implicite beaucoup plus sensible : cette personne a acheté un portefeuille physique destiné à conserver des cryptomonnaies. Pour les cybercriminels, cette liste constitue presque un fichier de prospects déjà qualifiés.
Trezor découvre 67 000 victimes supplémentaires
L’incident ne provient pas directement des systèmes de Trezor. Il concerne ShipMonk, un prestataire chargé notamment de l’expédition de ses produits.
Le 2 septembre, ShipMonk a informé le fabricant que la fuite était plus importante qu’annoncé initialement. Les nouvelles données concernent environ 67 000 clients américains ayant commandé entre novembre 2019 et août 2021.
Les informations exposées comprennent les noms, emails, numéros de téléphone, adresses de livraison et numéros de commande. En ajoutant les 13 689 clients signalés en août, l’incident concerne désormais plus de 80 000 personnes.
Trezor affirme pourtant avoir demandé à plusieurs reprises la suppression des anciennes données. ShipMonk aurait même confirmé par écrit qu’elles avaient été effacées. Elles étaient manifestement toujours présentes.
Point essentiel, les appareils Trezor restent sécurisés. Les clés privées et les sauvegardes des portefeuilles n’ont pas été compromises.
Une adresse devient sensible lorsqu’elle révèle un détenteur de cryptos
Une adresse postale volée à un commerce ordinaire indique principalement où habite un client. Une adresse provenant du fichier d’un fabricant de hardware wallets apporte une information supplémentaire.
Elle permet de déduire que son propriétaire possède ou a probablement possédé des cryptomonnaies.
L’escroc connaît également son nom, son téléphone, son email et le fait qu’il a acheté un produit Trezor. Il dispose donc de suffisamment d’éléments pour construire une attaque particulièrement crédible.
Un faux conseiller peut appeler la victime en citant son véritable nom et son adresse. Un email peut évoquer une prétendue faille concernant son portefeuille. Une lettre peut même arriver directement dans sa boîte aux lettres.
Cette dernière méthode existe déjà. L’Office fédéral suisse de la cybersécurité a récemment signalé des courriers contenant des QR codes conduisant vers de faux sites de portefeuilles crypto. Les victimes étaient invitées à saisir leur phrase de récupération sous prétexte d’une mise à jour de sécurité.
Une fuite de données transforme ainsi le phishing générique en attaque personnalisée.
Le précédent Ledger montre que le danger peut durer des années
Le problème ne disparaît pas lorsque l’entreprise corrige la faille. Une fois copiées, les données personnelles peuvent circuler indéfiniment.
L’incident subi par Ledger en 2020 constitue un précédent particulièrement parlant. Les informations de plus de 270 000 clients avaient finalement été publiées sur un forum de hackers. Elles comprenaient notamment des noms, téléphones et adresses postales.
Des clients ont continué à signaler des appels frauduleux et des courriers de phishing plusieurs années après la fuite.
L’adresse physique introduit aussi un risque absent d’une simple fuite d’email. Trezor reconnaît lui-même que les victimes peuvent être exposées à des menaces de sécurité physique.
Un criminel peut théoriquement croiser les données avec des réseaux sociaux, des bases publiques ou d’autres fuites afin d’évaluer le profil financier d’une cible.
Cela ne signifie évidemment pas que les 67 000 personnes concernées subiront une attaque. Mais leur valeur potentielle pour des escrocs est supérieure à celle d’une simple liste de consommateurs.
La meilleure protection reste de considérer tout contact inattendu comme suspect. Aucun fabricant légitime ne demandera une phrase de récupération par email, téléphone, courrier ou QR code. Une personne qui obtient ces mots peut prendre le contrôle du portefeuille.
L’affaire Trezor rappelle finalement une faiblesse paradoxale de l’autoconservation. Un hardware wallet peut protéger parfaitement les clés privées tandis qu’un simple fichier logistique révèle qui possède probablement le coffre et où il habite.
Dans la crypto, protéger la clé ne suffit donc plus. Il faut aussi protéger l’identité de celui qui la détient.
