Trezor, fabricant tchèque de portefeuilles matériels pour cryptomonnaies, a publié le 13 août 2026 un avis de sécurité concernant son prestataire d'expédition ShipMonk. L'entreprise indique avoir été informée le lundi 10 août d'un accès non autorisé aux systèmes de ce partenaire, qui stocke ses produits et expédie les commandes.
Quelles données sont sorties
Trezor distingue deux niveaux d'exposition. 11 742 clients ont vu partir leur nom complet, leur adresse électronique, leur numéro de téléphone et leur adresse de livraison. 1 947 clients n'ont vu exposés que leur nom, leur ville et leur adresse électronique. Soit environ 13 689 personnes au total. Les commandes concernées sont celles livrées entre le 10 mai et le 8 août 2026 dans sept pays : États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie et Portugal. Trezor précise dans une mise à jour que les 1 947 dossiers à exposition partielle pourraient inclure des commandes plus anciennes, point qu'elle dit vérifier avec ShipMonk. La société attribue le périmètre limité de la fuite à sa règle de conservation : les partenaires logistiques doivent supprimer ou anonymiser les données de commande 90 jours après livraison. Le contenu des colis n'a pas été exposé, et aucun système interne de Trezor n'a été touché. Les personnes concernées ont reçu un courriel dédié, envoyé depuis une adresse que l'entreprise publie sur son blog. Ceux qui n'ont rien reçu ne sont pas concernés. Trezor indique que c'est la première fois depuis sa création en 2013 qu'une fuite expose des numéros de téléphone et des adresses postales de clients. Elle annonce une option de livraison anonyme, avec emballage neutre, retrait en casier et suppression automatique des identifiants d'expédition, visée pour septembre 2026 dans l'Union européenne et pour la fin 2026 aux États-Unis. C'est une annonce de calendrier, pas un service disponible aujourd'hui.
Pourquoi une adresse postale pèse plus lourd qu'un mot de passe
Un portefeuille matériel reste hors ligne, ce qui rend son piratage à distance difficile. La fuite ne porte donc pas sur les fonds mais sur l'identité et le domicile de gens dont on sait qu'ils détiennent des cryptomonnaies. Trezor prévient d'abord d'un risque d'hameçonnage plus ciblé : faux courriels, appels, courriers, usurpation de banques ou de plateformes. Sa consigne tient en une ligne, ne jamais saisir sa phrase de sauvegarde ailleurs que sur l'appareil. Les mécanismes par lesquels une phrase de récupération part en quelques secondes sont détaillés dans notre dossier sur les arnaques qui vident un portefeuille en un clic. Selon TechCrunch, un second fabricant, SafePal, a signalé ces dernières semaines une fuite comparable chez son propre transporteur. Le même média rapporte qu'une attaque distincte visant les portefeuilles Coldcard de Coinkite a permis de dérober plus de 130 millions de dollars en cryptomonnaies, les assaillants étant parvenus à prédire les phrases de récupération générées hors ligne par ces appareils.
Ce que disent les chiffres sur les agressions physiques
Chainalysis a publié le 6 août une estimation des vols obtenus par la violence physique, ce que le milieu appelle les attaques à la clé à molette. Plus de 30 millions de dollars auraient été extorqués depuis le début 2026, après 58 millions sur l'ensemble de 2025.
| Indicateur | 2023 | 2025 | 2026 (mi-année) |
|---|---|---|---|
| Part des cambriolages à domicile | 26 % | 14 % | 37 % |
| Incidents recensés en France | quelques cas | 19 | 30 |
| Taux de réussite des extorsions | non communiqué | 49 % | 26 % |
La France concentre la hausse. Chainalysis relie cette flambée au vol présumé, en 2024, de dossiers fiscaux sur des détenteurs fortunés par un agent des impôts de la région parisienne, dossiers contenant noms, adresses, avoirs et numéros de téléphone. Le rythme est passé d'environ 1,9 attaque par mois en 2025 à 4,6 au premier semestre 2026, avec des cas à Strasbourg, Marseille, Grenoble, Toulouse ou Nantes. Fin juin, le ministre de l'Intérieur Laurent Nuñez a évoqué plus de 70 incidents documentés et annoncé un dispositif d'identification et d'alerte pour les personnes exposées. Ce cumul déplace la question du choix d'un appareil vers celle des données laissées à l'achat. Trezor recommande une adresse électronique dissociée de l'identité réelle, le paiement en cryptomonnaie ou par carte virtuelle jetable, et une boîte postale quand c'est possible. Les arbitrages entre garde personnelle et conservation chez un tiers sont comparés dans notre guide sur où stocker ses bitcoins en self-custody, et la question du stockage hors de France est traitée dans notre analyse du cadre légal des portefeuilles offshore.
