Violations crypto 2026 : les fuites d'expédition alimentent les attaques physiques

Trois violations ont eu lieu en quatre jours, chacune enracinée dans un fournisseur que l'utilisateur final n'a jamais choisi et dont il n'a probablement jamais connu l'existence. SafePal a perdu 39 798 dossiers clients à cause d'une faille de plugin. Trezor a perdu 13 689 dossiers via son fournisseur d'expédition ShipMonk. Bits of Gold, le plus grand courtier en crypto réglementé d'Israël, a perdu environ 200 000 dossiers via un outil d'analyse. Aucun portefeuille n'a été vidé. Aucune clé n'a été volée. Ce qui a été volé est pire pour une classe de crime spécifique et croissante : la preuve vérifiée qu'une personne à une adresse connue possède de la crypto-monnaie, associée à son numéro de téléphone et, dans certains cas, à son numéro d'identification gouvernemental.

Cet article retrace les trois incidents jusqu'à leur racine technique commune, mesure la menace physique que ces dossiers alimentent désormais, et examine ce que la réponse de l'industrie révèle sur une lacune structurelle que les fabricants de portefeuilles matériels et les courtiers ont été lents à combler.

Une vulnérabilité, deux violations, quatre jours

Le lien entre les violations de Trezor et de Bits of Gold est devenu clair quelques heures après la deuxième divulgation. Les deux remontent à CVE-2026-72898, une injection SQL non authentifiée critique dans Metabase, la plateforme de business intelligence open source utilisée par des milliers d'entreprises pour interroger et visualiser des données internes.

La vulnérabilité se situe dans le point de terminaison de réinitialisation de mot de passe. Un attaquant distant peut injecter du SQL arbitraire via des champs non déclarés dans le corps de la demande de réinitialisation, obtenir un accès administrateur à l'instance Metabase, et à partir de là lire toutes les bases de données auxquelles l'instance se connecte. Metabase l'a notée CVSS 10.0. Horizon3 a publié une preuve de concept. CISA l'a ajoutée au catalogue des vulnérabilités exploitées connues.

ShipMonk, le fournisseur d'exécution des commandes que Trezor utilise pour les commandes aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal, exécutait une instance Metabase auto-hébergée. Les attaquants ont exploité CVE-2026-72898 au plus tard le 6 août et ont accédé aux données de commande de 13 689 clients Trezor qui ont reçu des expéditions entre le 10 mai et le 8 août. Parmi eux, 11 742 ont eu une exposition complète incluant nom, e-mail, numéro de téléphone et adresse de livraison. Les 1 947 restants ont eu une exposition partielle limitée au nom, à la ville et à l'e-mail.

Bits of Gold a divulgué sa violation le 16 août après avoir détecté un accès non autorisé à un système logiciel tiers utilisé pour le support client et l'analyse de données. La société a confirmé la même CVE. Environ 200 000 utilisateurs ont vu leurs noms, numéros d'identification israéliens, adresses e-mail, numéros de téléphone, adresses IP, détails de compte bancaire et adresses publiques de portefeuille crypto potentiellement consultés. Bits of Gold a décrit l'incident comme faisant partie d'une attaque mondiale plus large qui a touché plusieurs entreprises simultanément.

La campagne plus large est réelle. Metabase elle-même a confirmé que les attaquants ont exploité la faille contre les locataires de Metabase Cloud avant que le correctif ne soit disponible. Framework, Anaconda et n8n ont tous divulgué un accès non autorisé aux données à partir de la fenêtre pré-correctif. Sur environ 11 000 instances Metabase auto-hébergées probables trouvées via un balayage à l'échelle d'Internet par runZero, 4 309 étaient potentiellement vulnérables, et plus de 97 % des hôtes identifiés sur les branches affectées semblaient non corrigés à la date de l'avis.

La troisième violation repose sur une faille différente

L'incident de SafePal partage le calendrier mais pas la racine technique. Le fabricant de portefeuilles matériels soutenu par Binance a divulgué le 16 août qu'une vulnérabilité d'autorisation dans un plugin tiers de suivi de commandes permettait à des personnes non autorisées de voir les informations de commande d'autres clients. La faille a exposé 39 798 clients qui ont passé des commandes entre le 2 mars 2025 et le 11 avril 2026.

L'ensemble de données est plus restreint que celui des violations de Metabase : noms, adresses e-mail, numéros de téléphone, adresses de livraison et détails d'achat. Aucune phrase de récupération, clé privée, mot de passe de portefeuille, coordonnées bancaires ou numéro d'identification gouvernemental n'a été consulté. SafePal a corrigé la faille, a engagé un auditeur indépendant, a réduit sa fenêtre de conservation des données à 90 jours et a identifié et supprimé plus de 30 sites de phishing liés à l'incident.

Les trois violations partagent un schéma qui importe plus que n'importe quelle CVE individuelle. Dans chaque cas, les systèmes de l'entreprise elle-même n'ont pas été compromis. L'attaquant est entré par un fournisseur que le client n'a jamais choisi : une société de logistique de livraison, un tableau de bord analytique, un widget de suivi de commande. Le client a choisi un portefeuille ou un courtier. La pile de fournisseurs derrière était invisible.

Ce que les données volées permettent

La réassurance standard après une violation de ce type est qu'aucun fonds n'a été compromis. Ce cadrage traite les données comme une nuisance, utile pour des e-mails de phishing qu'un utilisateur attentif peut repérer et supprimer. Il manque la catégorie de crime que ces enregistrements alimentent.

Le rapport sur les attaques à la clé à molette de CertiK pour le premier semestre 2026 a documenté 52 incidents vérifiés de violence physique utilisée pour extorquer des cryptomonnaies à des victimes, soit une augmentation de 33 % par rapport aux 39 incidents du premier semestre 2025. L'exposition financière a atteint 124,1 millions de dollars, soit plus de 11 fois les 10,5 millions de dollars de la même période un an plus tôt.

Les méthodes d'attaque évoluent. Les invasions de domicile liées au vol de cryptomonnaies sont passées d'un cas au premier semestre 2025 à 20 au premier semestre 2026, devenant le type d'attaque vérifié le plus courant. Les enlèvements sont passés de 12 à 16. Les attaquants ciblent de plus en plus les proches des détenteurs de cryptomonnaies : les proches ou connaissances représentaient environ 25 à 30 % des cas documentés début 2026, contre presque aucun en 2021.

La France représente 33 des 52 cas vérifiés, soit 63,5 % de tous les incidents mondiaux. Le pays a enregistré 41 enlèvements liés aux cryptomonnaies en 2026, soit en moyenne environ un tous les deux jours et demi. La concentration est en partie un effet de déclaration : les autorités françaises suivent et publient ces cas plus systématiquement que la plupart des juridictions, mais l'ampleur ne s'explique pas uniquement par la déclaration.

Les données de cette semaine sont exactement ce qu'une attaque à la clé à molette nécessite. Un client de cryptomonnaie confirmé, une adresse de livraison vérifiée par une livraison effectuée, un numéro de téléphone pour l'ingénierie sociale, et dans le cas de Bits of Gold, un numéro d'identification gouvernemental et une adresse de portefeuille publique. L'attaquant n'a pas besoin de deviner qui possède des cryptomonnaies. La violation le confirme.

L'économie est simple. Un acheteur sur le dark web paie quelques centaines de dollars pour une liste sélectionnée de détenteurs de cryptomonnaies vérifiés avec leurs adresses personnelles. Une seule invasion de domicile ou un enlèvement réussi rapporte des dizaines de milliers à des millions de dollars en cryptomonnaies, qui sont irréversibles une fois transférées. Le rendement ajusté au risque pour l'attaquant s'améliore à chaque violation qui ajoute des enregistrements vérifiés au marché. L'exposition financière de 124,1 millions de dollars pour 52 incidents au premier semestre 2026 implique un gain moyen d'environ 2,4 millions de dollars par attaque réussie, bien que la médiane soit probablement plus faible et qu'une poignée de cas à forte valeur fasse monter la moyenne.

La géographie de la menace s'étend également. Alors que la France domine le nombre de cas vérifiés, Chainalysis a documenté des incidents dans au moins 14 pays en 2026. Le Royaume-Uni, les États-Unis, le Brésil, les Pays-Bas et l'Afrique du Sud ont tous enregistré plusieurs cas. La violation de Trezor affecte spécifiquement les clients de sept pays. La violation de Bits of Gold affecte les clients israéliens, une juridiction qui n'était pas apparue auparavant à grande échelle dans les statistiques d'attaques à la clé à molette.

Le précédent Ledger et pourquoi il importe maintenant

Ce n'est pas la première fois qu'une violation de portefeuille matériel alimente une campagne de menace physique. La violation de la base de données de commerce électronique de Ledger en 2020 a exposé environ 272 000 enregistrements de clients, y compris les noms complets, les numéros de téléphone et les adresses personnelles. Les données ont été vendues en privé avant d'être divulguées publiquement en décembre 2020.

Ce qui a suivi est devenu l'étude de cas la plus claire de l'industrie sur la façon dont les données d'adresse volées se transforment en préjudices réels. Des campagnes de phishing ont utilisé de véritables noms et détails d'achat pour se faire passer pour le support de Ledger. Des lettres d'extorsion sont arrivées aux domiciles exigeant entre 700 et 1 000 dollars en Bitcoin, avertissant que le refus entraînerait du doxxing ou des attaques physiques. En 2021, des attaquants ont envoyé par courrier des appareils de remplacement physiquement falsifiés aux adresses issues de la fuite, des paquets sous film rétractable avec de faux en-têtes de lettre indiquant aux victimes de saisir leurs phrases de récupération sur du matériel modifié conçu pour exfiltrer les graines.

Six ans plus tard, les données de la violation de Ledger circulent toujours dans des campagnes de phishing. En 2026, des escrocs ont envoyé des lettres physiques à des clients de Ledger en utilisant les mêmes données d'adresse de 2020, démontrant que les données de violation n'expirent pas. Une adresse personnelle de 2020 est toujours une adresse personnelle en 2026 pour la majorité des victimes qui n'ont pas déménagé.

Les violations d'août 2026 sont plus importantes dans l'ensemble. Ledger a exposé 272 000 enregistrements. Les trois violations de cette semaine ont exposé 253 487 enregistrements, et l'ensemble de données de Bits of Gold comprend des numéros d'identification gouvernementaux et des adresses de portefeuille publiques que la fuite de Ledger ne contenait pas. L'enrichissement est pire. Un attaquant travaillant à partir de la fuite de Ledger savait que quelqu'un avait acheté un portefeuille matériel. Un attaquant travaillant à partir des données de Bits of Gold sait que quelqu'un détient de la crypto, où il vit, quel est son numéro d'identification gouvernemental, et peut vérifier son solde en chaîne.

Le problème du fournisseur que personne n'a résolu

Les entreprises de portefeuilles matériels se commercialisent sur la sécurité. L'appareil génère des clés hors ligne. Le micrologiciel est open source. L'élément sécurisé résiste à la falsification physique. Rien de tout cela n'a d'importance lorsque l'entreprise remet l'adresse personnelle d'un client à un fournisseur de traitement des commandes tiers qui exécute un tableau de bord analytique non corrigé.

Trezor a reconnu cette lacune directement. L'entreprise a annoncé qu'elle lancerait la livraison anonyme dans l'Union européenne d'ici septembre 2026 et aux États-Unis d'ici la fin de l'année. Le service permettra aux clients de recevoir des appareils sans fournir d'adresse personnelle à un intermédiaire d'expédition. C'est la première réponse structurelle d'un fabricant de portefeuilles matériels au problème des données des fournisseurs.

La réponse de SafePal s'est concentrée sur le plugin : correctif, audit, réduction de la conservation. Bits of Gold a retenu les services d'une entreprise de réponse aux incidents et a déconnecté le système affecté. Aucun n'a annoncé de changements dans la manière dont ils sélectionnent ou auditent les fournisseurs qui traitent les données des clients.

Le problème structurel est que le modèle de sécurité pour la garde de crypto traite l'appareil et les clés comme le périmètre. Le périmètre réel comprend chaque fournisseur de la chaîne d'approvisionnement qui sait qu'un client existe et où il vit. Les fournisseurs de traitement des commandes, les plateformes d'analyse, les outils de support client, les widgets de suivi de commande et les processeurs de paiement détiennent tous une partie de ces informations. Chacun est une cible, et le client n'a aucune visibilité sur les fournisseurs dans la chaîne ou sur les logiciels qu'ils exécutent.

Le coût de la conservation

La politique de conservation des données est la variable unique qui détermine l'ampleur d'une violation. Le défaut du plugin de SafePal a exposé les commandes passées sur une période de 13 mois. L'exposition de Trezor via ShipMonk a couvert une période de trois mois. Bits of Gold n'a pas divulgué sa période de conservation, mais 200 000 clients affectés impliquent des années d'enregistrements accumulés.

Après la violation, SafePal a réduit la conservation à 90 jours. C'est la bonne direction, mais cela soulève une question : pourquoi la fenêtre précédente était-elle de 13 mois ? Le suivi de commande ne nécessite pas de conserver l'adresse personnelle d'un client pendant un an après la livraison. La confirmation d'expédition en a besoin pendant des jours, pas des mois.

Le principe est simple. Chaque jour où un enregistrement existe au-delà de son objectif opérationnel est un jour où il peut être volé. La surface de violation n'est pas le nombre de fournisseurs. C'est le nombre de fournisseurs multiplié par le nombre d'enregistrements que chacun détient multiplié par le temps pendant lequel ces enregistrements persistent.

Ce qui pourrait réellement résoudre ce problème

Trois changements structurels réduiraient le rayon d'explosion de la prochaine violation. Aucun ne nécessite de nouvelle technologie. Tous nécessitent des décisions que les entreprises ont jusqu'à présent évitées.

Le premier est l'attestation de sécurité des fournisseurs. Chaque entreprise qui traite des données de clients crypto devrait exiger de ses fournisseurs qu'ils maintiennent des niveaux de correctifs à jour sur les logiciels exposés à Internet et fournissent des preuves de cette conformité selon un calendrier défini. La vulnérabilité de Metabase avait un correctif disponible le 6 août. ShipMonk a été violé le 6 août ou avant. Bits of Gold a détecté un accès non autorisé quelques jours plus tard. Un programme d'attestation des fournisseurs exigeant des rapports mensuels de conformité des correctifs aurait signalé les instances Metabase non corrigées avant qu'elles ne soient exploitées.

La deuxième est la minimisation des adresses. Un fournisseur de traitement des commandes a besoin d'une adresse de livraison pour livrer un colis. Il n'a pas besoin de cette adresse après la confirmation de livraison. Un outil de support client a besoin d'un numéro de référence de commande pour rechercher un dossier. Il n'a pas besoin de l'adresse personnelle du client pour ce faire. Le principe de minimisation des données, qui consiste à ne collecter que ce qui est nécessaire et à le supprimer lorsque le besoin expire, est inscrit dans le RGPD, le CCPA et la plupart des cadres de confidentialité modernes. Il est rarement appliqué au niveau des fournisseurs dans le secteur des cryptomonnaies.

La troisième est la divulgation transparente des fournisseurs. Les clients qui choisissent un portefeuille matériel ou un courtier n'ont actuellement aucun moyen de savoir quels fournisseurs recevront leurs données. Les clients de Trezor ne savaient pas que ShipMonk existait jusqu'à la divulgation de la violation. Les clients de SafePal ne savaient pas quel plugin suivait leurs commandes. Un registre simple des fournisseurs, publié sur le site Web de l'entreprise et mis à jour lorsque les fournisseurs changent, donnerait aux clients les informations dont ils ont besoin pour évaluer leur propre risque.

Aucune de ces mesures n'élimine les violations. Elles réduisent le nombre d'enregistrements disponibles à voler, la fenêtre pendant laquelle ces enregistrements existent, et la capacité du client à prendre des décisions éclairées sur les entreprises auxquelles il confie ses données d'adresse physique.

Le précédent existe en dehors des cryptomonnaies. Les réseaux de cartes de paiement exigent que les commerçants et leurs processeurs maintiennent la conformité PCI DSS, y compris des analyses de vulnérabilité régulières et des tests d'intrusion. Un commerçant qui ne respecte pas la conformité peut perdre sa capacité à traiter les cartes. Aucune norme équivalente n'existe pour les entreprises qui traitent les données d'adresse des clients en cryptomonnaies. L'industrie traite les données d'adresse comme un détail logistique plutôt que comme un actif critique de sécurité, même si les données d'adresse associées à une preuve de possession de cryptomonnaies créent un risque par enregistrement plus élevé qu'un numéro de carte de crédit volé, qui peut être annulé, ne le fait jamais.

L'annonce de la livraison anonyme de Trezor est le premier signe qu'au moins une entreprise reconnaît le problème structurel. Que les concurrents suivent et que l'approche s'étende au-delà de l'expédition aux outils d'analyse, de support et de marketing déterminera si août 2026 devient un tournant ou un autre incident qui produit des divulgations, des notifications et aucun changement durable.

Le contre-argument : pourquoi cela pourrait ne pas changer grand-chose

Le contre-argument est que les violations de données sont courantes et que le lien avec la violence physique est exagéré. Des millions de dossiers de clients du commerce électronique sont volés chaque année. La grande majorité des victimes ne subissent rien de pire que du spam. Les attaques de type "wrench", bien qu'en augmentation, restent rares en termes absolus : 52 cas vérifiés sur environ 400 millions d'utilisateurs de cryptomonnaies dans le monde.

Cet argument a du mérite sur le taux de base. Il échoue sur le problème de sélection. Une violation générique de commerce électronique ne dit pas à un attaquant quelles victimes ont des actifs liquides et au porteur stockés à une adresse connue. Une violation de portefeuille de cryptomonnaies ou de courtier le fait. L'attaquant peut filtrer la base de données volée pour cibler des cibles de grande valeur en utilisant l'historique d'achat, les adresses de portefeuille et la fréquence des commandes. Le ciblage est précis d'une manière qu'une violation de détaillant de vêtements ne l'est jamais.

Coinbase a divulgué dans son rapport annuel le plus récent qu'elle a dépensé 8,7 millions de dollars en mesures de sécurité physique pour les employés et les dirigeants en réponse à la tendance des attaques de type "wrench". Si la menace était exagérée, cette ligne de dépense n'existerait pas.

Que regarder

• Calendrier de lancement de Trezor Anonymous Delivery. L'objectif pour l'UE est septembre 2026, pour les États-Unis c'est la fin de l'année. Si le produit est livré dans les délais, les autres fabricants de portefeuilles matériels subiront des pressions pour s'aligner.
• Taux d'adoption du correctif Metabase. À la date de l'avis, plus de 97 % des instances auto-hébergées identifiées sur les branches concernées n'étaient pas corrigées. La prochaine vague de violations liées à CVE-2026-72898 est une question de temps, pas de probabilité.
• Réponse législative française. Avec 33 des 52 attaques à la clé à molette vérifiées concentrées en France, le ministère de l'Intérieur a signalé une éventuelle action réglementaire sur la manière dont les entreprises de crypto stockent et partagent les données d'adresse des clients.
• Rapports CertiK et Chainalysis H2 2026. Les chiffres du premier semestre ont montré 52 incidents et 124,1 millions de dollars d'exposition. Les données du second semestre, attendues début 2027, montreront si le groupe de violations d'août produit une augmentation mesurable des attaques physiques.
• Changements de politique de conservation dans l'industrie. SafePal est passé à 90 jours. Que les concurrents suivent ou que 90 jours deviennent une norme de facto indiquera à quel point l'industrie prend au sérieux le problème des données des fournisseurs.

Questions fréquemment posées