Trezor et BitBox : campagne de phishing massive après brèche

Trezor et BitBox ciblés par une vaste campagne de phishing après une brèche chez leur fournisseur d'e-mails

Deux des fabricants de portefeuilles matériels les plus utilisés dans le monde, Trezor et BitBox, alertent simultanément leurs utilisateurs après la découverte d'une campagne d'hameçonnage coordonnée. En cause : une intrusion confirmée chez le fournisseur de services e-mail de Trezor, qui a permis à des attaquants d'envoyer de fausses alertes de sécurité à des milliers de détenteurs de crypto-monnaies.

Ce qui s'est passé

Selon un signalement publié par Decrypt le 9 septembre 2026, Trezor a confirmé que des hackers ont compromis l'infrastructure de son prestataire d'e-mails. Cette brèche a servi de point d'entrée pour une campagne de phishing ciblant directement les clients de la marque tchèque, réputée pour ses portefeuilles froids.

Le lendemain, Cointelegraph rapportait que BitBox, concurrent suisse de Trezor, mettait également en garde ses utilisateurs contre la réception de fausses alertes de sécurité, suggérant une campagne coordonnée visant plus largement les détenteurs de portefeuilles matériels, quelle que soit la marque.

Les e-mails frauduleux se présentent sous la forme d'alertes urgentes de sécurité, incitant les destinataires à agir rapidement — typiquement en cliquant sur un lien et en saisissant leur phrase de récupération (seed phrase), soit les 12 ou 24 mots qui constituent la clé maîtresse d'accès à leurs fonds. Quiconque communique cette phrase à un tiers perd irrémédiablement le contrôle de ses actifs.

Contexte : pourquoi cette attaque est particulièrement dangereuse

Le vecteur choisi par les attaquants est redoutablement efficace pour plusieurs raisons.

• La légitimité apparente des expéditeurs : en passant par le fournisseur e-mail officiel de Trezor, les messages pouvaient afficher une adresse d'expéditeur crédible, rendant la détection difficile même pour des utilisateurs avertis.
• La cible est par définition patrimoniale : les utilisateurs de portefeuilles matériels détiennent généralement des montants significatifs en crypto-monnaies, ce qui en fait une cible de choix pour des attaquants qui optimisent leur effort en fonction du rendement potentiel.
• L'urgence fabriquée : les fausses alertes de sécurité exploitent la peur de perdre ses fonds pour pousser à l'action immédiate, court-circuitant le jugement critique.

Cette attaque s'inscrit dans une tendance plus large d'hameçonnage visant les utilisateurs de solutions de stockage à froid. En 2021, Trezor avait déjà subi une fuite de données chez son partenaire de e-commerce Shopify, exposant les coordonnées de centaines de milliers de clients — une base de données qui a, depuis, alimenté plusieurs vagues de phishing. La compromission d'un prestataire tiers demeure l'un des vecteurs d'attaque les plus efficaces contre des entreprises dont les systèmes internes sont par ailleurs bien protégés.

Données de marché

L'alerte survient dans un contexte de marché globalement défavorable. Au moment de la publication, le bitcoin s'échange à 78 170 $ (−1,38 % sur 24 h), l'ether à 2 473,96 $ (−1,46 %), tandis que Solana recule de 3,14 % à 101,55 $ et XRP de 3,73 % à 1,38 $. Le BNB enregistre la correction la plus marquée du panel avec −4,80 % à 718,55 $.

Ce repli généralisé tend à augmenter l'anxiété des détenteurs quant à la valeur de leurs portefeuilles, une pression psychologique que les attaquants savent exploiter pour décupler l'effet des fausses alertes de sécurité. La DeFi affiche pour sa part une TVL totale significative : Ethereum concentre à lui seul 49,91 milliards de dollars, suivi de Solana (5,87 Md$), BSC (5,66 Md$), Base (5,64 Md$) et Tron (5,15 Md$) — autant d'actifs pour lesquels des portefeuilles matériels constituent souvent la dernière ligne de défense.

Ces données de marché sont fournies à titre informatif. Cet article ne constitue en aucun cas un conseil en investissement.

Conséquences possibles

Pour les utilisateurs ayant reçu l'un de ces e-mails et, dans le pire des cas, communiqué leur phrase de récupération, les conséquences sont immédiates et irréversibles : les fonds peuvent être transférés vers des adresses contrôlées par les attaquants en quelques secondes, sans aucun recours possible sur une blockchain.

Pour Trezor, l'incident soulève des questions sur la sécurité de sa chaîne d'approvisionnement numérique. La compromission ne concerne pas le matériel ou le firmware de ses appareils — qui restent, selon toute indication disponible, intacts — mais bien la couche de communication avec ses clients. C'est précisément cette surface d'attaque, souvent négligée au profit de la sécurité du produit lui-même, qui s'avère ici vulnérable.

Pour l'écosystème plus large, cet épisode rappelle que la sécurité d'un portefeuille matériel ne se limite pas à l'appareil physique. La gestion des données clients par des prestataires tiers constitue un maillon faible systémique pour l'ensemble du secteur.

Points à surveiller

• L'étendue réelle de la brèche : Trezor n'a pas encore précisé, à l'heure de publication, combien d'adresses e-mail ont été exposées ni quelles données exactes ont été compromises chez son prestataire.
• L'identification du fournisseur e-mail concerné : si d'autres entreprises du secteur font appel au même prestataire, la campagne pourrait s'étendre au-delà de Trezor et BitBox.
• De potentielles nouvelles vagues de phishing : une base de données clients exposée est rarement exploitée en une seule fois. Des campagnes successives, potentiellement plus sophistiquées, sont à anticiper dans les semaines à venir.
• La réponse réglementaire : selon les juridictions concernées, une notification obligatoire aux autorités de protection des données (type RGPD en Europe) pourrait être requise, avec des délais stricts.
• Les mesures correctives annoncées : Trezor et BitBox devraient communiquer sur les actions prises pour sécuriser leurs canaux de communication. Ces annonces seront déterminantes pour la confiance de leurs utilisateurs.

Que faire si vous avez reçu un e-mail suspect ?

Ne jamais saisir sa phrase de récupération en ligne, quelle que soit la source de la demande. Aucun fabricant de portefeuille matériel légitime ne demandera jamais ces informations par e-mail ou via un formulaire web. En cas de doute, contacter directement le support officiel via le site de la marque (en tapant l'URL manuellement, sans cliquer sur un lien reçu par e-mail).

Sources

• Decrypt — « Bitcoin Wallet Maker Trezor Says Hackers Breached Its Email Provider » (9 septembre 2026)
• Cointelegraph — « Trezor, BitBox warn users about fake hardware wallet security alerts » (10 septembre 2026)

Cet article est fourni à titre d'information et ne constitue pas un conseil en investissement. Les crypto-actifs sont volatils ; faites vos propres recherches.

— Reservoir Live