Découvert : Le dernier incident de Trezor était une fuite de données causée par un fournisseur. En réalité, l’objectif n’était pas le portefeuille en soi.

Exposition, niveau de qualité : le 9 septembre, une e-mail est arrivée dans les boîtes aux lettres.347 000 personnesC’était une personne qui avait inscrit son adresse e-mail dans la liste des abonnés au bulletin informel de Trezor. Le message contenait le domaine propre de Trezor, un titre de l’email qui ressemblait à un bulletin de sécurité : “Alerte de sécurité importante : vulnérabilité liée à STM32 Entropy”. Il y avait aussi un lien vers une application qui demandait aux utilisateurs de cryptomonnaies les données les plus importantes qu’ils possèdent : la sauvegarde de leur portefeuille, ou plutôt le “seed de récupération”. L’e-mail n’était pas envoyé par Trezor. C’est Trezor qui a été le premier à le dire, et il l’a fait de manière claire et évidente.C’est une tentative de phishing.. Ne cliquez sur aucun lien.."

L’information indiquée dans cette déclaration mérite d’être lue attentivement, car la version courante des événements est incorrecte d’une manière importante. Les systèmes de Trezor, ses portefeuilles et son infrastructure de compte n’ont pas été piratés. La violation a eu lieu…Brevo, le service de marketing par e-mail tiers que Trezor utilise pour les newsletters.Un intrus a utilisé une faille dans le système de connexion de Brevo pour accéder à une série d’adresses e-mail des clients sur la plateforme – y compris celles de Trezor. Il a ensuite envoyé cette mise à jour falsifiée à la liste de diffusion comptant 347 000 personnes. Les seules informations exposées étaient les adresses e-mail. Pas de mots de passe, pas de données relatives aux portefeuilles… Rien qui permettrait d’accéder aux fonds.

C’est le « plus petit fait exploitable » qui permet de remettre en question l’histoire entière. Le titre de l’article est « Violation de données de Trezor ». Le mot « Trezor » est responsable de tout le problème, sans toutefois faire quoi que ce soit concrètement. Mais évaluer cette fuite de données est tout aussi important que de la découvrir : l’exposition des données était réelle, et elle n’était pas inoffensive.

Suivez le contenu réel, pas la titre.

Les informations fournies par Trezor lui-même concernant l’incident donnent des chiffres utiles. Le domaine malveillant a été éliminé au niveau du DNS.vingt minutesC’est ce qui a permis que les dommages causés soient limités à environ 2 500 personnes qui ont cliqué sur l’application avant sa suppression. Parmi celles-ci, ceux qui ont simplement cliqué – ceux qui n’ont jamais entré leur phrase de sécurité dans l’application – ont été informés qu’ils n’étaient pas en danger. Ceux qui ont bien entré leur phrase de sécurité ont reçu l’instruction essentielle : transférer les fonds dans une nouvelle carte de paiement immédiatement, en supposant que la carte ancienne est compromise.

Cette séparation constitue l’ensemble de l’histoire concernant le lieu où réside réellement le risque lié à la garde personnelle des données. Le portefeuille hardware a rempli sa fonction, comme promis ; une mise à jour falsifiée ne pouvait pas atteindre le firmware, et une application malveillante ne pouvait pas lire les informations du dispositif qui refuse de partager ses secrets. L’attaque n’avait besoin que que le propriétaire brise le protocole – en remettant le backup qui existe uniquement pour permettre la restauration du portefeuille en cas de perte, et ce dernier ne doit jamais être entré dans un logiciel qui le demande. Le silicium a tenu bon ; la couche que le vendeur ne contrôle pas, c’est l’humain qui détient la phrase de récupération, qui est donc la cible de l’attaque.

C’est la même forme que les deux autres “fissures” du Trezor. En les voyant côte à côte, on peut voir clairement ce motif. En janvier 2024, c’était…Le portail de ticketing pour le soutien de tiersEn 2026, c’était ShipMonk, le partenaire en transport et livraison, qui a été l’auteur de cet incident.14 000 clientsEt a grandi à environ81 000 en tenant compte des archives d’ordres plus anciens.— Noms, adresses e-mail, numéros de téléphone, adresses. Maintenant, Brevo, le fournisseur d’e-mails. Chacun d’eux fait partie de la chaîne d’approvisionnement de Trezor : support, logistique, marketing. Aucun d’eux n’a eu accès au produit lui-même.

Ce n’est pas une condition réservée uniquement au Trezor.Ledger a été touché par un processus de paiement, et SafePal par un fournisseur.Dans la même période de 2026. Les deux plus grandes entreprises du secteur, ainsi qu’une troisième entreprenante, ont toutes été compromises par le même type de fuite de données provenant de tiers, en même année. C’est un indice concernant le domaine concerné, et non une faute morale d’une seule entreprise.

Où se situe réellement le cas d’investissement

Avant que quiconque interprète cela de manière erronée, il convient de préciser clairement les limites de l’information disponible : Trezor est une entreprise privée, détenue par la société mère tchèque SatoshiLabs. Il n’existe pas d’actions de Trezor cotées en bourse, ni aucun titre qui puisse être acheté, vendu ou sur lequel on puisse se soucier. Par conséquent, cet événement ne peut pas influencer le prix de quelque chose que les investisseurs au niveau du consommateur puissent posséder. La question importante est de savoir comment cela affecte le marché concernant les portefeuilles hardware et la méthode de garde de ses propres actifs – un marché qui reste encore petit. Les estimations du secteur indiquent que le marché entier représente…moins d’un milliard de dollars par an, avec une forte concentrationParmi quelques marques.

Pour cette catégorie, l’économie repose sur un seul élément : la confiance. Un portefeuille physique est en réalité une vente de matériel unique, accompagnée d’une série d’accessoires et de abonnements. Le prix élevé qu’il coûte par rapport à un portefeuille logiciel gratuit provient entièrement du fait que « tes clés ne sont pas connectées à Internet ». Chaque fuite de données liée aux fournisseurs – quel que soit le responsable technique – est signalée sous le nom de la marque, et les coûts liés au marketing de la marque sont alors utilisés pour corriger la situation. Lorsque l’argument en faveur de la sécurité personnelle se heurte aux reportages concernant les fuites de données des entreprises fabricantes de ces portefeuilles, une autre version de l’histoire apparaît : l’exchange dispose au moins d’un service de remboursement. C’est donc une taxe réelle, bien que lente, sur l’adoption de cette méthode de stockage de clés. Les incidents répétés renforcent ce sentiment.

Pour un investisseur en ligne, en revanche, les conséquences sont plus graves au niveau personnel que au niveau de l’allocation des ressources. Les 347 000 adresses e-mail – Trezor les considère toutes comme étant connues définitivement de l’attaquant – constituent désormais une source de phishing durable. Cette campagne de phishing sera répétée sous différents sujets, tant que les gens possèdent ces portefeuilles. Tout ce qui se passe est un signal pour qu’on tape une phrase de sécurité. Il n’existe aucune mise à jour du firmware qui puisse corriger cela, ni de la part de Trezor, ni de quiconque d’autre.

C’est la condition de interruption qui pourrait changer la situation. Si des preuves apparaissent montrant que les dispositifs de Trezor, son service de sauvegarde ou ses systèmes de gestion des comptes ont été compromise… Si l’incident ne reste pas un simple problème lié à une fuite de données de la part du fournisseur, mais devient un problème de sécurité réel, alors cela ne sera plus seulement une question de réputation ou de phishing. Cela deviendra alors un événement de sécurité majeur, au cœur de la valeur que l’entreprise vend. Aucune information actuelle ne soutient cette hypothèse. Trezor a clairement indiqué que ses systèmes étaient intacts. Jusqu’à ce que cela change, on peut dire simplement qu’il s’agit d’une violation de la sécurité par le fournisseur, bien maîtrisée, visant ce que le fournisseur ne peut pas protéger : le portefeuille lui-même n’a pas échoué. Il ne peut jamais échouer, sauf si la personne qui détient la clé fait quelque chose pour le remédier.