En bref
- Les hackers ciblent désormais la chaîne logistique autour des wallets crypto.
- Les données volées peuvent servir à lancer des attaques physiques ou des arnaques ciblées.
- Les incidents récents montrent que le stockage hors ligne n’est pas infaillible.
Le paradoxe est brutal. Un wallet matériel est censé protéger vos cryptos du piratage en ligne, mais il suffit parfois d’une fuite chez un transporteur pour remettre tout le reste en danger.
Le coffre reste fermé, pas l’enveloppe autour
Ces dernières semaines, Trezor et SafePal ont signalé des vols de données personnelles touchant au total des milliers de clients. En cause, des brèches chez leurs partenaires chargés des expéditions. Pour envoyer les appareils, les fabricants transmettent forcément des informations très concrètes, nom, adresse postale, e-mail et numéro de téléphone.
Point important, les portefeuilles eux-mêmes n’ont pas été compromis. Le problème est ailleurs. Les attaquants ont visé la chaîne autour du produit, celle qu’on regarde moins, pour identifier où vivent des détenteurs potentiels de crypto. Et là, le hors ligne ne suffit plus.
Quand une fuite de données devient une menace physique
Avec une adresse et un nom, le risque change de nature. Des criminels peuvent tenter d’obtenir par la force la seed phrase, cette suite de mots qui permet de reprendre le contrôle total des fonds sur la blockchain publique. Une fois cette phrase connue, il n’y a pas de bouton retour.
Ce type d’agression, souvent appelé attaque au wrench, progresse. CertiK dit avoir confirmé des dizaines de cas signalés en 2025, soit une hausse de 75% sur un an, pour un butin dépassant les 40 millions de dollars. De son côté, Chainalysis estime le total de l’année plus près des 30 millions de dollars à ce stade, avec des groupes qui passent par des enlèvements ou des intrusions au domicile pour exiger cette phrase de récupération.
Les deux fabricants ont aussi demandé à leurs clients de rester attentifs aux tentatives de phishing. Quand un pirate possède déjà un numéro ou une adresse e-mail, les messages frauduleux deviennent tout de suite plus crédibles.
Coldcard rappelle qu’un wallet matériel n’est pas invincible
Et comme si ça ne suffisait pas, un autre incident a touché ce mois-ci un wallet physique d’une autre manière. Des pirates ont volé plus de 130 millions de dollars en cryptomonnaies liées au modèle Coldcard de Coinkite.
D’après les éléments rapportés, les attaquants ont réussi à prédire les mots de passe et les seed phrases générés hors ligne par ces appareils. Les wallets n’ont jamais été connectés à internet, mais cela n’a pas empêché les voleurs de récupérer les fonds directement sur la blockchain.
Une victime a raconté sur le réseau social X avoir fait tout ce qu’il fallait, sans que cela change l’issue, à cause d’une ligne de code vulnérable remontant à 2021 dans le matériel qui avait créé la seed phrase. C’est sans doute le vrai message de cette séquence, la sécurité crypto ne dépend pas d’un seul boîtier, mais de tout ce qu’il y a autour.
