Fuites Shipping Crypto 2026 Menacent Les Adresses

Imaginez recevoir un colis de portefeuille matériel à votre domicile. Quelques semaines plus tard, des inconnus frappent à votre porte, connaissent votre nom, votre numéro de téléphone et savent exactement que vous détenez des cryptomonnaies. Ce n’est plus un scénario de film. Entre le 13 et le 16 août 2026, trois fuites distinctes ont exposé les données de 253 487 clients. Aucune clé privée n’a été volée. Aucun fonds n’a quitté les portefeuilles. Pourtant, ce qui a fuité est plus dangereux encore pour une catégorie de criminalité en pleine expansion : la preuve vérifiée qu’une personne à une adresse précise possède des crypto-actifs.

Trois fuites en quatre jours, un même fil rouge

SafePal, Trezor et Bits of Gold ont successivement annoncé des incidents. SafePal a perdu 39 798 fiches clients via une faille d’autorisation dans un plugin de suivi de commandes. Trezor a vu 13 689 dossiers transiter par son prestataire logistique ShipMonk. Bits of Gold, le principal courtier réglementé israélien, a signalé environ 200 000 utilisateurs touchés à travers un outil d’analyse. Dans les trois cas, les systèmes internes des entreprises n’ont pas été directement pénétrés. L’attaquant est entré par un fournisseur que le client n’a jamais choisi et dont il ignorait souvent l’existence.

Deux de ces trois événements partagent une origine technique précise. La vulnérabilité CVE-2026-72898, une injection SQL non authentifiée dans Metabase, plateforme d’intelligence décisionnelle open source, a reçu la note maximale CVSS 10.0. Elle permet à un attaquant distant d’injecter du code SQL via le point de réinitialisation de mot de passe, d’obtenir des droits administrateur et de lire l’intégralité des bases connectées. Horizon3 a publié une preuve de concept. CISA l’a inscrite au catalogue des vulnérabilités activement exploitées.

ShipMonk, qui gère les expéditions de Trezor aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal, exploitait une instance Metabase auto-hébergée. Les attaquants ont frappé au plus tard le 6 août. Parmi les 13 689 dossiers, 11 742 comportaient une exposition complète. Bits of Gold a confirmé la même faille le 16 août. L’éditeur Metabase lui-même a reconnu que des tenants cloud avaient été touchés avant le correctif. Sur environ 11 000 instances auto-hébergées repérées par des scans, plus de 97 % des versions concernées restaient non patchées au moment de l’avis.

SafePal : une faille différente, le même résultat

L’incident SafePal repose sur un mécanisme distinct. Une vulnérabilité d’autorisation dans un plugin tiers de suivi de commandes a permis de consulter les informations d’autres clients. La fenêtre d’exposition s’étend du 2 mars 2025 au 11 avril 2026. Le jeu de données est plus restreint : pas de phrases de récupération, pas de clés privées, pas de détails bancaires ni d’identifiants gouvernementaux. SafePal a corrigé la faille, fait appel à un auditeur indépendant, réduit sa période de conservation à 90 jours et signalé plus de 30 sites de phishing liés à l’affaire.

Le point commun dépasse la technique. Dans chaque cas, le client a choisi un portefeuille ou un courtier. La chaîne de fournisseurs derrière ce choix lui restait invisible. C’est précisément cette invisibilité qui transforme une faille logistique ou analytique en matière première pour des attaques physiques.

Pourquoi ces données valent plus que des clés privées

La réaction standard après ce type d’incident consiste à rappeler qu’aucun fonds n’a été compromis. Cette formulation traite les données comme une nuisance, utile tout au plus pour des e-mails de phishing qu’un utilisateur attentif peut supprimer. Elle ignore la catégorie de crime que ces fichiers alimentent directement.

CertiK a documenté 52 attaques physiques vérifiées au premier semestre 2026, soit une hausse de 33 % par rapport aux 39 cas de la même période en 2025. L’exposition financière a atteint 124,1 millions de dollars, multipliée par plus de onze par rapport aux 10,5 millions de l’année précédente. Les cambriolages liés au vol de crypto sont passés d’un seul cas au premier semestre 2025 à vingt au premier semestre 2026. Les enlèvements ont progressé de 12 à 16. Les proches des détenteurs représentent désormais 25 à 30 % des victimes documentées, contre presque zéro en 2021.

La France concentre à elle seule 33 des 52 incidents vérifiés, soit 63,5 % du total mondial. Le pays a enregistré 41 enlèvements liés aux crypto-actifs en 2026, soit en moyenne un tous les deux jours et demi.

Cette concentration s’explique en partie par un meilleur suivi des forces de l’ordre françaises, mais l’ampleur ne se réduit pas à un effet de reporting. Chainalysis a recensé des cas dans au moins quatorze pays. Royaume-Uni, États-Unis, Brésil, Pays-Bas et Afrique du Sud figurent parmi les territoires touchés à plusieurs reprises. La fuite Trezor concerne des clients de sept pays. Celle de Bits of Gold touche des résidents israéliens, une juridiction jusqu’ici peu visible dans les statistiques d’attaques physiques à grande échelle.

L’économie sombre des listes de détenteurs

Un acheteur sur le dark web paie quelques centaines de dollars pour une liste filtrée de détenteurs vérifiés avec adresses domiciliaires. Une seule intrusion réussie ou un enlèvement peut rapporter des dizaines de milliers à plusieurs millions de dollars en cryptomonnaies irréversibles une fois transférées. Le rendement ajusté au risque s’améliore à chaque nouvelle fuite qui enrichit le marché de fiches authentifiées. Les 124,1 millions d’exposition pour 52 incidents au premier semestre 2026 correspondent à une moyenne d’environ 2,4 millions par attaque réussie, même si la médiane est probablement plus basse et qu’une poignée de cas à très haute valeur tire la moyenne vers le haut.

Les données de cette semaine correspondent exactement au profil recherché : un client crypto confirmé, une adresse de livraison validée par un envoi réel, un numéro de téléphone exploitable pour l’ingénierie sociale, et dans le cas de Bits of Gold un numéro d’identification nationale ainsi qu’une adresse de portefeuille publique. L’attaquant n’a plus à deviner qui détient des actifs numériques. La fuite le lui confirme.

Le précédent Ledger et sa leçon de longévité

Ce n’est pas la première fois qu’une fuite de portefeuille matériel alimente une campagne de menaces physiques. En 2020, la base e-commerce de Ledger a exposé environ 272 000 fiches clients comprenant noms complets, numéros de téléphone et adresses domiciliaires. Les données ont d’abord circulé en privé avant d’être déversées publiquement en décembre 2020.

Ce qui a suivi reste l’étude de cas la plus claire du secteur. Des campagnes de phishing ont utilisé les vrais noms et détails d’achat pour se faire passer pour le support Ledger. Des lettres d’extorsion sont arrivées à domicile, réclamant 700 à 1 000 dollars en bitcoin sous menace de doxxing ou d’attaques physiques. En 2021, des appareils de remplacement physiquement altérés ont été expédiés aux adresses de la fuite, emballés de façon à imiter l’expéditeur officiel et demandant aux victimes de saisir leur phrase de récupération sur du matériel conçu pour l’exfiltrer.

Six ans plus tard, les données de 2020 circulent encore dans des campagnes de phishing. Des escrocs ont continué en 2026 à envoyer des lettres physiques en s’appuyant sur les mêmes adresses. Une adresse de 2020 reste une adresse de 2026 pour la majorité des victimes qui n’ont pas déménagé. Les fuites d’août 2026 sont plus larges en agrégat. Ledger avait exposé 272 000 fiches. Les trois incidents de cette semaine totalisent 253 487, et le jeu de données Bits of Gold inclut des éléments que le dump Ledger ne contenait pas : numéros d’identification nationale et adresses de portefeuilles publics. L’enrichissement est nettement plus dangereux. L’attaquant qui travaillait sur Ledger savait qu’une personne avait acheté un portefeuille matériel. Celui qui travaille sur Bits of Gold sait qu’elle détient des crypto-actifs, où elle habite, quel est son numéro d’identité et peut vérifier son solde on-chain.

Le problème structurel des fournisseurs invisibles

Les fabricants de portefeuilles matériels construisent leur image autour de la sécurité. L’appareil génère les clés hors ligne. Le firmware est open source. L’élément sécurisé résiste aux manipulations physiques. Rien de tout cela ne protège lorsque l’entreprise confie l’adresse domiciliaire d’un client à un prestataire logistique qui fait tourner un tableau de bord analytique non mis à jour.

Trezor a reconnu cette faille structurelle. La société a annoncé le lancement d’une livraison anonyme dans l’Union européenne d’ici septembre 2026 et aux États-Unis d’ici la fin de l’année. Le service permettra de recevoir un appareil sans fournir d’adresse domiciliaire à aucun intermédiaire d’expédition. C’est la première réponse structurelle d’un fabricant de portefeuilles matériels au problème des données de fournisseurs.

SafePal a concentré sa réaction sur le plugin : correction, audit, réduction de la conservation. Bits of Gold a fait appel à une société de réponse aux incidents et a déconnecté le système concerné. Aucune des deux n’a annoncé de modification dans la sélection ou l’audit des prestataires qui manipulent les données clients.

Le modèle de sécurité de la garde crypto traite l’appareil et les clés comme le périmètre. Le périmètre réel inclut chaque fournisseur de la chaîne qui sait qu’un client existe et où il vit. Prestataires logistiques, plateformes d’analyse, outils de support client, widgets de suivi de commandes et processeurs de paiement détiennent tous une partie de ces informations. Chacun constitue une cible, et le client n’a aucune visibilité sur la liste des intervenants ni sur les logiciels qu’ils exécutent.

Le coût réel de la conservation des données

La politique de conservation est la variable qui détermine l’ampleur d’une fuite. La faille de SafePal a exposé des commandes sur une fenêtre de treize mois. L’exposition Trezor via ShipMonk a couvert trois mois. Bits of Gold n’a pas communiqué sa durée de conservation, mais 200 000 clients touchés suggèrent des années d’accumulation.

Après l’incident, SafePal a ramené la conservation à 90 jours. C’est un pas dans la bonne direction, mais la question demeure : pourquoi le délai précédent atteignait-il treize mois ? Le suivi d’une commande n’exige pas de conserver l’adresse domiciliaire d’un client un an après la livraison. Une confirmation d’expédition en a besoin pendant des jours, pas des mois.

Le principe est simple. Chaque jour pendant lequel un enregistrement existe au-delà de son utilité opérationnelle est un jour pendant lequel il peut être volé. La surface d’exposition n’est pas le nombre de fournisseurs. C’est le nombre de fournisseurs multiplié par le volume de fiches que chacun détient multiplié par la durée de conservation de ces fiches.

Trois leviers qui réduiraient réellement le risque

Trois changements structurels diminueraient le rayon d’action de la prochaine fuite. Aucun n’exige de technologie nouvelle. Tous exigent des décisions que les entreprises ont jusqu’ici évitées.

Le premier est l’attestation de sécurité des fournisseurs. Toute entreprise qui manipule des données de clients crypto devrait imposer à ses prestataires le maintien de niveaux de correctifs à jour sur les logiciels exposés à Internet et la fourniture de preuves de conformité selon un calendrier défini. Le correctif de la vulnérabilité Metabase était disponible le 6 août. ShipMonk a été compromis le 6 août ou avant. Bits of Gold a détecté l’accès non autorisé quelques jours plus tard. Un programme d’attestation exigeant un reporting mensuel de conformité aux correctifs aurait signalé les instances Metabase non patchées avant leur exploitation.

Le deuxième est la minimisation des adresses. Un prestataire logistique a besoin d’une adresse pour livrer un colis. Il n’en a plus besoin après confirmation de livraison. Un outil de support client a besoin d’un numéro de commande pour retrouver un dossier. Il n’a pas besoin de l’adresse domiciliaire pour le faire. Le principe de minimisation des données, collecter uniquement ce qui est nécessaire et supprimer dès que le besoin disparaît, figure dans le RGPD, le CCPA et la plupart des cadres de protection de la vie privée modernes. Il est rarement appliqué au niveau des fournisseurs dans l’écosystème crypto.

Le troisième est la transparence sur les prestataires. Les clients qui choisissent un portefeuille matériel ou un courtier n’ont actuellement aucun moyen de savoir quels fournisseurs recevront leurs données. Les clients de Trezor ignoraient l’existence de ShipMonk jusqu’à la divulgation de la fuite. Ceux de SafePal ne savaient pas quel plugin suivait leurs commandes. Un registre simple de prestataires, publié sur le site de l’entreprise et mis à jour à chaque changement, donnerait aux clients les informations nécessaires pour évaluer leur propre risque.

Aucune de ces mesures n’élimine les fuites. Elles en réduisent l’impact. Le précédent existe hors crypto. Les réseaux de cartes de paiement imposent aux commerçants et à leurs processeurs le respect de la norme PCI DSS, incluant des scans de vulnérabilités et des tests d’intrusion réguliers. Un commerçant non conforme peut perdre sa capacité à traiter des cartes. Aucune norme équivalente n’existe pour les entreprises qui manipulent les adresses de clients crypto. Le secteur traite encore ces données comme un détail logistique plutôt que comme un actif critique de sécurité, alors même qu’une adresse couplée à une preuve de possession de crypto crée un risque par fiche supérieur à celui d’un numéro de carte bancaire, qui peut être contesté.

L’argument contraire et ses limites

On peut objecter que les fuites de données sont routinières et que le lien avec la violence physique est surestimé. Des millions de fiches clients e-commerce sont volées chaque année. La grande majorité des victimes ne subissent rien de pire que du spam. Les attaques physiques, bien qu’en hausse, restent rares en termes absolus : 52 cas vérifiés pour une population estimée de 400 millions d’utilisateurs de cryptomonnaies dans le monde.

Cet argument a du poids sur le taux de base. Il échoue sur le problème de sélection. Une fuite e-commerce générique ne dit pas à l’attaquant quels victimes détiennent des actifs liquides et au porteur stockés à une adresse connue. Une fuite de portefeuille ou de courtier crypto le fait. L’attaquant peut filtrer la base volée vers les cibles à haute valeur en s’appuyant sur l’historique d’achat, les adresses de portefeuilles et la fréquence des commandes. Le ciblage est précis d’une manière qu’une fuite de détaillant textile n’atteint jamais.

Coinbase a indiqué dans son dernier rapport annuel avoir dépensé 8,7 millions de dollars en mesures de sécurité physique pour ses employés et dirigeants en réponse à la tendance des attaques au pied-de-biche. Si la menace était surestimée, cette ligne budgétaire n’existerait pas.

Ce qu’il faut surveiller dans les mois à venir

Le calendrier de lancement de la livraison anonyme de Trezor constitue le premier signal. L’objectif européen est septembre 2026, celui des États-Unis la fin d’année. Si le service arrive à l’heure, les autres fabricants de portefeuilles matériels subiront une pression concurrentielle pour proposer l’équivalent.

Le taux d’adoption du correctif Metabase reste critique. Au moment de l’avis, plus de 97 % des instances auto-hébergées sur les branches concernées n’étaient pas patchées. La prochaine vague de fuites liées à CVE-2026-72898 est une question de temps, pas de probabilité.

La réponse législative française mérite une attention particulière. Avec 33 des 52 attaques vérifiées concentrées sur son territoire, le ministère de l’Intérieur a laissé entendre une possible action réglementaire sur la façon dont les entreprises crypto stockent et partagent les adresses de leurs clients.

Les rapports du second semestre 2026 de CertiK et de Chainalysis, attendus début 2027, montreront si le cluster de fuites d’août produit un pic mesurable d’attaques physiques. Enfin, les évolutions des politiques de conservation à travers le secteur indiqueront si les 90 jours de SafePal deviennent une référence de facto ou restent une exception isolée.

Ce que les clients concernés peuvent faire concrètement

Les personnes touchées par ces fuites doivent surveiller les tentatives de phishing qui reprennent leur vrai nom, leur adresse ou leur historique d’achat. Ces détails rendent les messages frauduleux nettement plus convaincants. Changer les mots de passe e-mail, activer l’authentification à deux facteurs et traiter avec prudence tout contact non sollicité mentionnant des avoirs crypto constituent des gestes de base. Il s’agit d’une analyse éducative, pas d’un conseil d’investissement.

Au-delà des mesures individuelles, la question de fond reste collective. L’industrie a construit un modèle de sécurité centré sur l’appareil et les clés. Elle a laissé le périmètre réel, celui des adresses et des preuves de possession, à la merci de prestataires dont le client ignore jusqu’au nom. Les fuites d’août 2026 ne sont pas un accident isolé. Elles sont le symptôme d’un décalage entre la promesse de sécurité des portefeuilles matériels et la réalité de la chaîne logistique et analytique qui les accompagne.

Trezor a fait un premier pas avec la livraison anonyme. Reste à voir si les concurrents suivront et si l’approche s’étendra au-delà de l’expédition pour couvrir l’analytique, le support et les outils marketing. C’est de cette extension que dépendra le fait qu’août 2026 reste un simple épisode de divulgations et de notifications, ou qu’il devienne le point de bascule où le secteur a enfin traité l’adresse domiciliaire comme ce qu’elle est devenue : l’un des actifs les plus sensibles qu’un détenteur de cryptomonnaies puisse confier.

Les chiffres du premier semestre 2026 sont déjà là. 52 attaques vérifiées. 124,1 millions de dollars d’exposition. Une concentration massive en France. Une hausse des cambriolages de un à vingt cas. Les fuites de cette semaine ont ajouté 253 487 fiches supplémentaires au marché. Le temps des excuses techniques est révolu. Le temps des décisions structurelles commence.