Imaginez recevoir un colis contenant un portefeuille matériel. Vous l’ouvrez, vous le configurez, vous y placez une partie de votre patrimoine numérique. Tout semble sous contrôle. Pourtant, quelques mois plus tard, des inconnus connaissent votre nom, votre numéro de téléphone, votre adresse exacte et, surtout, ils savent que vous détenez des cryptomonnaies. Ce scénario n’est plus hypothétique. Entre le 13 et le 16 août 2026, trois fuites distinctes ont exposé les données de plus de 250 000 clients. Aucune clé privée n’a circulé. Aucun fonds n’a été vidé. Mais l’information volée est devenue, pour une catégorie précise de criminels, bien plus précieuse qu’un seed phrase.
Quand la chaîne d’approvisionnement devient la faille principale
Le point commun entre ces trois incidents n’est pas une attaque sophistiquée contre les serveurs des fabricants eux-mêmes. C’est l’entrée par la porte de derrière : des prestataires que le client final n’a jamais choisis et dont il ignore souvent jusqu’à l’existence. SafePal a perdu les informations de 39 798 clients à cause d’une faille d’autorisation dans un plugin de suivi de commande. Trezor a vu 13 689 dossiers s’envoler via son prestataire logistique ShipMonk. Bits of Gold, le principal courtier réglementé israélien, a annoncé qu’environ 200 000 utilisateurs avaient potentiellement été exposés à travers un outil d’analyse tiers.
Dans chaque cas, les systèmes centraux des entreprises concernées n’ont pas été compromis directement. L’attaquant est passé par un fournisseur de services : un entrepôt de fulfillment, un tableau de bord analytique, un widget de suivi de colis. Le client avait choisi un portefeuille ou un broker. La stack technique derrière restait invisible. Et c’est précisément cette invisibilité qui a transformé une simple commande en une fiche d’identité prête à l’emploi pour des agressions physiques.
Une seule vulnérabilité, deux entreprises, quatre jours
Le lien entre les fuites de Trezor et de Bits of Gold s’est imposé très rapidement. Les deux incidents remontent à la même faille critique : CVE-2026-72898. Il s’agit d’une injection SQL non authentifiée dans Metabase, la plateforme open source d’intelligence décisionnelle utilisée par des milliers d’entreprises pour interroger et visualiser leurs données internes. La vulnérabilité se niche dans l’endpoint de réinitialisation de mot de passe. Un attaquant distant peut injecter du SQL arbitraire via des champs non déclarés, obtenir un accès administrateur, puis lire l’intégralité des bases connectées à l’instance.
Metabase a attribué à cette faille le score maximal de 10,0 sur l’échelle CVSS. Un proof of concept a été publié. L’agence américaine chargée de la cybersécurité l’a ajoutée à son catalogue des vulnérabilités activement exploitées. ShipMonk, le prestataire qui gère les expéditions de Trezor aux États-Unis, au Royaume-Uni, en Suède, en Colombie, au Brésil, en Italie et au Portugal, hébergeait une instance Metabase en self-hosted. Les attaquants ont exploité la faille au plus tard le 6 août et ont accédé aux données de commandes portant sur la période du 10 mai au 8 août. Sur les 13 689 dossiers concernés, 11 742 contenaient le nom, l’email, le numéro de téléphone et l’adresse de livraison complète. Les 1 947 restants n’avaient qu’une exposition partielle.
Bits of Gold a confirmé le 16 août avoir détecté un accès non autorisé à un système tiers utilisé pour le support client et l’analyse de données. La même CVE a été identifiée. Environ 200 000 utilisateurs ont vu leurs noms, numéros d’identification israéliens, adresses email, numéros de téléphone, adresses IP, coordonnées bancaires et adresses de portefeuilles publics potentiellement consultés. L’entreprise a décrit l’incident comme faisant partie d’une campagne mondiale ayant touché plusieurs sociétés simultanément.
Cette campagne n’est pas un fantasme. Metabase a lui-même reconnu que des attaquants avaient exploité la faille sur des instances cloud avant même la disponibilité du correctif. D’autres entreprises, dont Framework, Anaconda et n8n, ont annoncé des accès non autorisés pendant la fenêtre pré-patch. Sur environ 11 000 instances self-hosted identifiées par des scans Internet, plus de 4 300 étaient potentiellement vulnérables, et plus de 97 % des hôtes sur les branches concernées apparaissaient encore non corrigés au moment de l’avis de sécurité.
SafePal : une faille différente, le même schéma
L’incident SafePal partage la temporalité mais pas la même racine technique. Le fabricant de portefeuilles matériels soutenu par Binance a révélé le 16 août qu’une vulnérabilité d’autorisation dans un plugin tiers de suivi de commande avait permis à des personnes non autorisées de consulter les informations de commandes d’autres clients. La faille a exposé 39 798 personnes ayant passé commande entre le 2 mars 2025 et le 11 avril 2026.
Le jeu de données est plus restreint que dans les cas Metabase : noms, emails, téléphones, adresses de livraison et détails d’achat. Aucune seed phrase, aucune clé privée, aucun mot de passe de portefeuille, aucune donnée bancaire ni numéro d’identité n’a été touché. SafePal a corrigé la faille, mandaté un auditeur indépendant, réduit sa fenêtre de conservation des données à 90 jours et identifié plus de 30 sites de phishing liés à l’incident.
Malgré la différence technique, le schéma reste identique. L’entreprise n’a pas été compromise en interne. L’attaquant est entré par un prestataire que le client n’avait pas choisi. C’est ce modèle qui rend la situation structurellement préoccupante.
Ce que ces données permettent réellement
La réponse standard après ce type de fuite consiste à rappeler qu’aucun fonds n’a été compromis. Cette formulation transforme les données en simple nuisance, utile tout au plus pour des emails de phishing qu’un utilisateur vigilant peut repérer. Elle passe à côté de la catégorie de crime que ces enregistrements alimentent désormais.
Un rapport de CertiK portant sur le premier semestre 2026 a documenté 52 attaques physiques vérifiées destinées à extorquer des cryptomonnaies, soit une hausse de 33 % par rapport aux 39 cas de la même période en 2025. L’exposition financière a atteint 124,1 millions de dollars, multipliée par plus de onze par rapport aux 10,5 millions de l’année précédente.
Les méthodes évoluent. Les cambriolages de domicile liés au vol de crypto sont passés d’un seul cas au premier semestre 2025 à vingt au premier semestre 2026, devenant le type d’attaque le plus fréquent. Les enlèvements ont progressé de 12 à 16. Les agresseurs ciblent de plus en plus l’entourage des détenteurs : proches ou connaissances représentent désormais 25 à 30 % des cas documentés, contre presque aucun en 2021.
La France concentre 33 des 52 incidents vérifiés, soit environ 63,5 % du total mondial. Le pays a enregistré 41 enlèvements liés aux cryptomonnaies en 2026, soit en moyenne un tous les deux jours et demi. Cette concentration s’explique en partie par un meilleur suivi et une publication plus systématique des affaires par les forces de l’ordre, mais l’ampleur ne se réduit pas à un simple effet de reporting.
Les données issues de ces fuites correspondent exactement à ce dont a besoin une attaque physique. Un client crypto confirmé, une adresse de livraison vérifiée par une livraison effective, un numéro de téléphone permettant l’ingénierie sociale, et dans le cas de Bits of Gold un numéro d’identité et une adresse de portefeuille publique. L’attaquant n’a plus à deviner qui détient des actifs numériques. La fuite le lui confirme.
L’économie de cette criminalité est simple. Un acheteur sur le dark web paie quelques centaines de dollars pour une liste filtrée de détenteurs vérifiés avec adresse. Une seule intrusion à domicile ou un enlèvement réussi peut rapporter des dizaines de milliers à plusieurs millions de dollars en cryptomonnaies, irréversibles une fois transférées. Le rendement ajusté au risque s’améliore à chaque nouvelle fuite qui ajoute des fiches vérifiées au marché. Les 124,1 millions d’exposition pour 52 incidents au premier semestre 2026 correspondent à une moyenne d’environ 2,4 millions par attaque réussie, même si la médiane est probablement plus basse et qu’une poignée de cas à forte valeur tire la moyenne vers le haut.
Le précédent Ledger et pourquoi il compte aujourd’hui
Ce n’est pas la première fois qu’une fuite de données de portefeuilles matériels alimente une campagne de menaces physiques. En 2020, la base e-commerce de Ledger avait exposé environ 272 000 dossiers clients comprenant noms complets, numéros de téléphone et adresses. Les données avaient d’abord circulé en privé avant d’être diffusées publiquement en décembre 2020.
Ce qui a suivi est devenu le cas d’école de l’industrie. Des campagnes de phishing utilisaient les vrais noms et détails d’achat pour se faire passer pour le support Ledger. Des lettres d’extorsion arrivaient aux domiciles, réclamant 700 à 1 000 dollars en bitcoin sous peine de doxxing ou d’attaques physiques. En 2021, des appareils de remplacement physiquement altérés ont été envoyés aux adresses issues de la fuite, avec un emballage soigné et un papier à en-tête factice demandant d’entrer la phrase de récupération sur un matériel modifié conçu pour exfiltrer les seeds.
Six ans plus tard, les données de 2020 circulent encore dans des campagnes de phishing. Des escrocs ont envoyé en 2026 des courriers physiques à d’anciens clients Ledger en utilisant les mêmes adresses, prouvant que les données de fuite n’expirent pas. Une adresse de 2020 reste une adresse de 2026 pour la majorité des victimes qui n’ont pas déménagé.
Les fuites d’août 2026 sont, dans l’ensemble, plus riches. Ledger avait exposé 272 000 dossiers. Les trois incidents de cette semaine en totalisent 253 487, et le jeu de données de Bits of Gold inclut des numéros d’identité et des adresses de portefeuilles publics absents de la fuite Ledger. L’enrichissement est plus dangereux. Un attaquant travaillant à partir de la fuite Ledger savait qu’une personne avait acheté un portefeuille matériel. Un attaquant travaillant à partir des données Bits of Gold sait qu’une personne détient des crypto, où elle habite, quel est son numéro d’identité, et peut vérifier son solde on-chain.
Le problème des prestataires que personne n’a résolu
Les fabricants de portefeuilles matériels communiquent sur la sécurité de leurs dispositifs. Les clés sont générées hors ligne. Le firmware est open source. L’élément sécurisé résiste aux tentatives de manipulation physique. Rien de tout cela n’a d’importance lorsque l’entreprise confie l’adresse du client à un prestataire logistique qui fait tourner un tableau de bord analytique non patché.
Trezor a reconnu ce décalage. L’entreprise a annoncé le lancement d’une livraison anonyme dans l’Union européenne d’ici septembre 2026 et aux États-Unis d’ici la fin de l’année. Le service permettra aux clients de recevoir un appareil sans transmettre d’adresse personnelle à un intermédiaire d’expédition. C’est la première réponse structurelle d’un fabricant de portefeuilles matériels au problème des données détenues par les prestataires.
SafePal s’est concentré sur le plugin : correctif, audit, réduction de la rétention. Bits of Gold a fait appel à une société de réponse aux incidents et a déconnecté le système concerné. Aucune des deux n’a annoncé de modification sur la façon dont elles sélectionnent ou contrôlent les prestataires qui manipulent les données clients.
Le problème structurel est que le modèle de sécurité de la conservation crypto considère l’appareil et les clés comme le périmètre. Le vrai périmètre inclut chaque prestataire de la chaîne qui sait qu’un client existe et où il vit. Les prestataires logistiques, les plateformes analytiques, les outils de support client, les widgets de suivi de commande et les processeurs de paiement détiennent tous une partie de ces informations. Chacun est une cible, et le client n’a aucune visibilité sur les prestataires présents dans la chaîne ni sur les logiciels qu’ils utilisent.
Le coût de la conservation des données
La politique de rétention est la variable qui détermine l’ampleur possible d’une fuite. La faille du plugin SafePal a exposé des commandes sur une fenêtre de treize mois. L’exposition via ShipMonk pour Trezor couvrait une période de trois mois. Bits of Gold n’a pas communiqué sa durée de conservation, mais 200 000 clients affectés suggèrent des années de dossiers accumulés.
Après l’incident, SafePal a ramené la rétention à 90 jours. C’est une orientation correcte, mais elle pose une question : pourquoi la fenêtre précédente était-elle de treize mois ? Le suivi d’une commande n’exige pas de conserver l’adresse d’un client pendant un an après la livraison. La confirmation d’expédition en a besoin pendant quelques jours, pas pendant des mois.
Le principe est simple. Chaque jour où un enregistrement existe au-delà de sa finalité opérationnelle est un jour pendant lequel il peut être volé. La surface d’exposition n’est pas le nombre de prestataires. C’est le nombre de prestataires multiplié par le nombre d’enregistrements que chacun détient multiplié par la durée pendant laquelle ces enregistrements persistent.
Ce qui pourrait réellement réduire les risques
Trois changements structurels diminueraient le rayon d’impact de la prochaine fuite. Aucun n’exige de nouvelle technologie. Tous nécessitent des décisions que les entreprises ont jusqu’ici évitées.
Le premier est l’attestation de sécurité des prestataires. Toute entreprise qui manipule des données de clients crypto devrait exiger de ses prestataires le maintien de niveaux de correctifs à jour sur les logiciels exposés à Internet et la fourniture de preuves de conformité selon un calendrier défini. La vulnérabilité Metabase disposait d’un correctif dès le 6 août. ShipMonk a été compromis au plus tard le 6 août. Bits of Gold a détecté l’accès non autorisé quelques jours plus tard. Un programme d’attestation exigeant un reporting mensuel de conformité aux correctifs aurait signalé les instances Metabase non patchées avant leur exploitation.
Le deuxième est la minimisation des adresses. Un prestataire logistique a besoin d’une adresse pour livrer un colis. Il n’en a plus besoin après la confirmation de livraison. Un outil de support client a besoin d’un numéro de commande pour retrouver un dossier. Il n’a pas besoin de l’adresse du domicile pour le faire. Le principe de minimisation des données, ne collecter que le nécessaire et le supprimer lorsque le besoin disparaît, figure dans le RGPD, le CCPA et la plupart des cadres de protection de la vie privée modernes. Il est rarement appliqué au niveau des prestataires dans l’écosystème crypto.
Le troisième est la transparence sur les prestataires. Les clients qui choisissent un portefeuille matériel ou un broker n’ont actuellement aucun moyen de savoir quels prestataires recevront leurs données. Les clients de Trezor ignoraient l’existence de ShipMonk jusqu’à la publication de la fuite. Les clients de SafePal ne savaient pas quel plugin suivait leurs commandes. Un simple registre de prestataires, publié sur le site de l’entreprise et mis à jour lors des changements, donnerait aux clients les informations nécessaires pour évaluer leur propre risque.
Aucune de ces mesures n’élimine les fuites. Elles réduisent le nombre d’enregistrements disponibles, la fenêtre pendant laquelle ces enregistrements existent, et la capacité du client à décider en connaissance de cause à quelles entreprises il confie des données d’adresse physique.
Le précédent existe hors de la crypto. Les réseaux de cartes de paiement exigent des commerçants et de leurs processeurs le respect de la norme PCI DSS, incluant des scans de vulnérabilités et des tests d’intrusion réguliers. Un commerçant qui ne respecte pas la conformité peut perdre la capacité de traiter des cartes. Aucun standard équivalent n’existe pour les entreprises qui manipulent des données d’adresse de clients crypto. L’industrie traite encore l’adresse comme un détail logistique plutôt que comme un actif critique de sécurité, alors même qu’une adresse associée à une preuve de détention de crypto crée un risque par enregistrement supérieur à celui d’un numéro de carte volé, qui peut être contesté.
L’argument inverse et ses limites
On peut objecter que les fuites de données sont banales et que le lien avec la violence physique est exagéré. Des millions de dossiers clients e-commerce sont volés chaque année. La grande majorité des victimes ne subissent rien de pire que du spam. Les attaques physiques, bien qu’en hausse, restent rares en termes absolus : 52 cas vérifiés sur une population estimée à 400 millions d’utilisateurs de cryptomonnaies dans le monde.
Cet argument a du poids sur le taux de base. Il échoue sur le problème de sélection. Une fuite e-commerce générique ne dit pas à l’attaquant quels victimes détiennent des actifs liquides et au porteur stockés à une adresse connue. Une fuite de portefeuille ou de broker crypto le dit. L’attaquant peut filtrer la base volée pour cibler les profils à forte valeur à partir de l’historique d’achat, des adresses de portefeuilles et de la fréquence des commandes. Le ciblage est précis d’une manière qu’une fuite de détaillant de vêtements ne l’est jamais.
Coinbase a indiqué dans son dernier rapport annuel avoir dépensé 8,7 millions de dollars en mesures de sécurité physique pour ses employés et dirigeants en réponse à la tendance des attaques physiques. Si la menace était surestimée, cette ligne budgétaire n’existerait pas.
Ce qu’il faut surveiller dans les mois à venir
Le calendrier de lancement de la livraison anonyme de Trezor. L’objectif européen est septembre 2026, l’objectif américain la fin d’année. Si le service arrive dans les temps, les autres fabricants de portefeuilles matériels subiront une pression pour s’aligner.
Le taux d’adoption du correctif Metabase. Au moment de l’avis de sécurité, plus de 97 % des instances self-hosted sur les branches concernées étaient encore non patchées. La prochaine vague de fuites liées à CVE-2026-72898 est une question de temps, pas de probabilité.
La réponse législative française. Avec 33 des 52 attaques physiques vérifiées concentrées en France, le ministère de l’Intérieur a signalé une possible action réglementaire sur la façon dont les entreprises crypto stockent et partagent les données d’adresse des clients.
Les rapports de CertiK et de Chainalysis pour le second semestre 2026. Les chiffres du premier semestre montraient 52 incidents et 124,1 millions d’exposition. Les données du second semestre, attendues début 2027, indiqueront si le cluster de fuites d’août produit une hausse mesurable des attaques physiques.
Les changements de politique de rétention dans l’industrie. SafePal est passé à 90 jours. Que les concurrents suivent ou que 90 jours deviennent une norme de fait indiquera à quel point le secteur prend au sérieux le problème des données détenues par les prestataires.
Ce que les clients concernés peuvent concrètement faire
Les personnes dont les données ont été exposées devraient surveiller avec attention les tentatives de phishing qui mentionnent leur vrai nom, leur adresse ou leur historique d’achat. Ces détails rendent les messages frauduleux nettement plus crédibles. Changer les mots de passe des comptes email, activer l’authentification à deux facteurs et rester prudent face à tout contact non sollicité faisant référence à des détentions de crypto constituent des gestes pratiques. Il ne s’agit pas de conseils d’investissement, mais de mesures de réduction de surface d’attaque personnelle.
Au-delà des gestes individuels, la question de fond reste collective. Tant que les fabricants et les brokers traiteront l’adresse de livraison comme un détail logistique plutôt que comme un élément de sécurité critique, les fuites de ce type continueront d’alimenter un marché parallèle où la preuve de détention de crypto associée à une adresse physique se monnaye facilement et se convertit rapidement en violence.
Trezor a fait un premier pas avec l’annonce de la livraison anonyme. Reste à voir si les concurrents suivront et si l’approche s’étendra au-delà de l’expédition pour inclure les outils d’analyse, de support et de marketing. C’est de cette extension que dépendra le caractère de tournant ou de simple épisode de plus de l’été 2026.
Les données volées ne disparaissent pas. Elles circulent, se croisent, s’enrichissent. Une adresse de 2020 peut encore servir en 2026. Une fiche de 2026 servira encore en 2030. Dans un écosystème où les actifs sont au porteur et les transferts irréversibles, la protection des informations qui prouvent qu’une personne détient ces actifs à une adresse précise n’est plus une question secondaire. C’est devenue une condition de sécurité de base, et l’industrie a encore un long chemin à parcourir pour la traiter comme telle.
Les trois fuites d’août 2026 ne sont pas des incidents isolés. Elles sont le symptôme d’un modèle qui a longtemps considéré le dispositif et les clés comme le seul périmètre digne d’attention, en laissant les prestataires de la chaîne logistique et analytique hors du champ de vision. Tant que ce modèle ne changera pas, chaque nouvelle commande de portefeuille ou chaque nouvel compte chez un broker restera une fiche potentielle dans une base de données qui, un jour ou l’autre, finira entre les mains de quelqu’un qui ne cherchera pas à envoyer un email de phishing, mais à frapper à une porte.
