Trezor a révélé que les informations personnelles de 13 689 clients ont été exposées après qu'un acteur non autorisé a accédé aux systèmes exploités par son prestataire d'expédition ShipMonk.
Trezor a déclaré dans un avis de sécurité du 13 août que ShipMonk avait informé le fabricant de portefeuilles matériels le 10 août d'un accès non autorisé à des systèmes contenant des données de commande de clients, et qu'une enquête sur l'incident était toujours en cours.
La violation a affecté les clients qui ont reçu des commandes Trezor entre le 10 mai et le 8 août aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal. Trezor a déclaré que ses propres systèmes n'avaient pas été compromis et que ses portefeuilles matériels restaient sécurisés.
Parmi les clients concernés, 11 742 ont vu leurs noms, adresses e-mail, numéros de téléphone et adresses de livraison exposés. Les informations de 1 947 autres clients ont été partiellement compromises, comprenant leurs noms, villes et adresses e-mail.
Les numéros de commande figuraient également parmi les informations détenues par ShipMonk pour les livraisons, selon l'explication de Trezor concernant l'incident.
ShipMonk est un prestataire logistique qui stocke les produits Trezor et gère les livraisons aux États-Unis, au Royaume-Uni et sur plusieurs autres marchés. La société de traitement des commandes exige les noms des clients, leurs adresses, numéros de téléphone et adresses e-mail pour traiter les expéditions.
Selon Trezor, le nombre de clients exposés a été limité par sa politique de rétention des données de 90 jours, qu'elle exige également de ses partenaires de traitement des commandes. Les informations clients associées aux commandes plus anciennes avaient déjà été supprimées ou anonymisées et n'étaient donc pas stockées dans les systèmes ShipMonk affectés.
Trezor a déclaré que la période de 90 jours était conçue pour couvrir l'intégralité du processus de commande, y compris la livraison, les retours, les remboursements et les remplacements de produits. Une fois cette période terminée, les informations clients liées à l'achat sont supprimées ou anonymisées car l'entreprise n'a plus besoin de l'adresse ou du numéro de téléphone à des fins de traitement des commandes.
Les clients concernés ont été informés séparément par des e-mails envoyés depuis [email protected]. Les clients n'ayant pas reçu la notification de sécurité n'ont pas été affectés par l'incident, selon l'entreprise.
ShipMonk a depuis sécurisé les systèmes affectés et renforcé sa sécurité suite à la violation, a déclaré Trezor. Les deux entreprises restent en contact alors qu'elles s'efforcent d'établir comment l'accès non autorisé a eu lieu et de déterminer les informations exactes qui ont été consultées.
L'incident représente la première fois depuis la fondation de Trezor en 2013 qu'une violation impliquant l'entreprise ou l'un de ses prestataires a exposé des numéros de téléphone et des adresses de livraison de clients.
« Nous comprenons parfaitement la gravité de la situation et les risques potentiels qu'elle représente pour nos clients, et nous sommes profondément désolés pour ceux qui sont affectés », a déclaré Trezor.
Bien que les appareils portefeuille et l'infrastructure de Trezor n'aient pas été affectés, l'entreprise a averti que les informations personnelles exposées pourraient être utilisées pour créer des tentatives de phishing plus convaincantes.
Les attaquants pourraient utiliser le nom, le numéro de téléphone, l'e-mail ou l'adresse du domicile d'un client pour se faire passer pour Trezor, un échange de cryptomonnaies ou une banque. L'entreprise a déclaré que les approches frauduleuses pourraient arriver par e-mail, appels téléphoniques ou lettres physiques.
De telles attaques ont déjà ciblé les propriétaires de portefeuilles matériels en utilisant des informations personnelles et des communications d'apparence officielle. En février, crypto.news a rapporté l'envoi de fausses lettres aux clients Trezor et Ledger qui dirigeaient les destinataires vers des sites web de phishing via des codes QR.
Les lettres indiquaient aux destinataires qu'ils devaient effectuer une vérification d'authentification ou de transaction et tentaient de créer un sentiment d'urgence en avertissant de possibles problèmes de fonctionnalité du portefeuille. Les pages de phishing liées demandaient des phrases de récupération de 12, 20 ou 24 mots, ce qui donnerait aux attaquants le contrôle d'un portefeuille une fois soumises.
Les lettres physiques représentent une préoccupation particulière lorsque les attaquants possèdent déjà les coordonnées postales d'une victime. Une campagne de phishing Ledger d'avril 2025 a également impliqué des lettres frauduleuses portant la marque Ledger, une adresse commerciale et des numéros de référence individuels.
Les destinataires de cette campagne ont été invités à scanner un code QR et à fournir leur phrase de récupération de 24 mots sous prétexte qu'une mise à jour de sécurité critique était nécessaire.
Trezor a conseillé aux clients affectés par la violation de ShipMonk de traiter avec suspicion les communications exigeant une action immédiate ou des informations personnelles. L'entreprise a également recommandé aux utilisateurs de vérifier les messages par rapport à ses communications officielles et de ne jamais fournir de sauvegarde de portefeuille via un site web ou à une autre personne.
Trezor a déjà été confronté à l'exposition d'informations clients via des services tiers, bien que l'entreprise ait déclaré que l'incident ShipMonk était le premier impliquant des numéros de téléphone et des adresses de livraison divulgués.
En janvier 2024, une partie non autorisée a accédé à un portail de tickets de support tiers utilisé par Trezor, exposant potentiellement les informations de contact d'environ 66 000 clients ayant interagi avec l'équipe de support depuis fin 2021.
L'entreprise a notifié les contacts affectés à l'époque et a déclaré que les actifs numériques n'avaient pas été compromis. L'incident impliquait le système de support externe plutôt que les portefeuilles matériels Trezor.
Une autre méthode de phishing est apparue en juin 2025 lorsque des attaquants ont abusé du formulaire de contact de Trezor en soumettant des demandes de support utilisant les adresses e-mail d'utilisateurs ciblés. Le processus a déclenché des réponses automatisées légitimes du système de Trezor, rendant les communications de phishing résultantes plus crédibles.
Trezor a déclaré à l'époque que son infrastructure e-mail n'avait pas été compromise et que le formulaire de contact restait sécurisé. Les attaquants ont plutôt exploité le flux de travail du support pour faire en sorte que les messages frauduleux semblent liés à une correspondance légitime.
La sécurité matérielle est restée sous surveillance séparément. En juin, Trezor et Tropic Square ont divulgué une faille de puce affectant l'Élément Sécurisé TROPIC01 utilisé dans le Trezor Safe 7 après que des chercheurs de Ledger Donjon ont découvert la faiblesse lors d'un audit indépendant.
Ledger Donjon a utilisé l'injection de fautes laser dans des conditions de laboratoire pour extraire certains secrets de puce et contourner les vérifications de signature du firmware. Trezor a déclaré que l'attaque nécessitait un accès physique et un équipement spécialisé, tandis que deux autres couches de sécurité indépendantes continuaient de protéger l'accès au portefeuille. Les utilisateurs n'ont pas été tenus de prendre des mesures.
L'incident ShipMonk, en comparaison, impliquait des informations de commande détenues par un prestataire de services de traitement plutôt que le matériel ou le logiciel responsable de la sécurisation des clés privées.
Suite à la dernière divulgation, Trezor a également détaillé les moyens par lesquels les clients peuvent réduire la quantité d'informations personnelles liées aux futurs achats de portefeuilles matériels.
L'entreprise a recommandé d'utiliser une adresse e-mail qui n'est pas liée à l'identité principale d'un client et a suggéré les paiements en cryptomonnaies comme alternative aux cartes de crédit. Le cas échéant, les clients peuvent également utiliser une boîte postale pour réduire l'exposition de leur adresse personnelle, bien que des exigences d'identification et des registres des services postaux puissent toujours s'appliquer.
Trezor prépare également un service de Livraison Anonyme conçu pour réduire les informations clients conservées lors des expéditions de portefeuilles matériels.
Dans le cadre du système prévu, les commandes utiliseraient un processus de paiement dédié, un retrait en consigne, un emballage neutre et des informations d'expéditeur génériques. Les identifiants d'expédition seraient ensuite automatiquement supprimés après la livraison.
Trezor a déclaré qu'il prévoyait de rendre la Livraison Anonyme disponible dans l'Union Européenne d'ici septembre 2026, suivie d'un déploiement aux États-Unis d'ici la fin de 2026.
