Rédigé par : Petit Biscuit
Il existe une règle contre-intuitive dans le domaine de la sécurité cryptographique : savoir combien de Bitcoins une personne possède est parfois plus dangereux que de connaître sa clé privée.
Le 16 août, le fabricant de portefeuilles matériels SafePal a publié un avis de sécurité, confirmant qu'une faille d'autorisation dans son plugin de consultation des commandes avait permis un accès non autorisé aux données d'environ 39 798 clients, comprenant leur nom, adresse e-mail, numéro de téléphone, adresse de livraison et historique d'achats. Les clients concernés sont ceux ayant passé commande entre le 2 mars 2025 et le 11 avril 2026.
SafePal souligne dans son avis : les clés privées, phrases de récupération (seed phrases), mots de passe des portefeuilles, numéros de cartes bancaires et informations de pièces d'identité n'ont pas été affectés. L'architecture de stockage à froid fonctionne dans un environnement complètement isolé, indépendant des serveurs e-commerce. Aucune preuve n'indique que les portefeuilles ou les fonds des utilisateurs aient été directement compromis.
L'entreprise a également révélé avoir identifié et fait retirer plus de 30 sites de phishing liés à cet incident.
Pourquoi une liste de courses est-elle plus effrayante qu'un mot de passe
Ce que les attaquants possèdent désormais : le nom réel, le numéro de téléphone, l'adresse e-mail et l'adresse postale de près de 40 000 personnes ayant confirmé l'achat d'un portefeuille matériel de stockage à froid.
La valeur de ces données est bien supérieure à celle d'une fuite de commandes typique sur une plateforme e-commerce. Les acheteurs de portefeuilles à froid détiennent presque certainement des actifs cryptographiques, et probablement des montants substantiels. Les utilisateurs prêts à dépenser de l'argent pour un matériel dédié à la garde d'actifs ne sont généralement pas de petits détenteurs ne possédant que quelques centaines de dollars.
Les attaquants n'ont pas besoin de pirater un quelconque appareil. Ils peuvent notamment :
Se faire passer pour le support client de SafePal et envoyer des "notifications de mise à jour du micrologiciel" ou des "avis de rappel de produit" incluant des numéros de commande et dates d'achat réels. Comme les informations de commande dans l'e-mail sont véridiques, l'utilisateur aura plus tendance à croire que l'ensemble du message est authentique.
Envoyer du courrier physique ou des colis à l'adresse des utilisateurs, contenant par exemple de faux QR codes ou des "appareils de remplacement". SafePal avertit spécifiquement dans son avis de "considérer comme suspect tout contact inattendu ou livraison de matériel mentionnant un historique d'achat SafePal", ce qui indique que ce type d'attaque a déjà eu lieu ou est anticipé.
Croiser les adresses, numéros de téléphone et e-mails divulgués avec des comptes de réseaux sociaux et des adresses on-chain pour constituer un profil utilisateur plus complet. Une fois qu'il est établi qu'un résident à une adresse donnée détient d'importants actifs cryptographiques, une intrusion physique (dite attaque "à la clé à molette") devient une option.
SafePal le reconnaît d'ailleurs dans sa FAQ : les attaques de phishing peuvent prendre "de nombreuses formes, notamment par téléphone, e-mail, SMS, courrier postal, offres de remboursement, demandes de mise à jour de micrologiciel et fausses communications du service client". La longueur de cette liste illustre en elle-même la gravité du problème.
Trois mois de silence
L'élément le plus interpellant dans cet incident concerne la chronologie des divulgations.
SafePal admet dans sa page FAQ avoir reçu dès le mois de mai des signalements d'utilisateurs concernant des e-mails de phishing, mais les avoir initialement considérés comme des "incidents isolés". Ce n'est qu'en juillet qu'un examen complet du système de commandes a été entrepris, et en août que la cause racine a été confirmée et l'avis publié.
Entre le premier signalement et la divulgation publique, environ trois mois se sont écoulés. Durant ces trois mois, les attaquants ont déjà utilisé les données divulguées pour envoyer des e-mails de phishing, et SafePal confirme avoir identifié et fait retirer plus de 30 sites de phishing. Cela signifie que les utilisateurs ont été exposés, sans le savoir, à des attaques d'ingénierie sociale très ciblées pendant plusieurs mois.
SafePal révèle également un détail : sa procédure de nettoyage des données (data-purge routine) a cessé de fonctionner en raison d'une erreur de configuration, laissant des informations d'anciennes commandes, qui auraient dû être supprimées après 90 jours, persister dans le système. Cela signifie que le volume de données divulguées est potentiellement plus important que la normale. Des données qui auraient dû être détruites conformément à la politique de confidentialité, mais qui ont survécu à cause d'un bug de configuration, puis ont été divulguées.
Le paradoxe de sécurité du portefeuille à froid
Cet incident met en lumière une contradiction structurelle dans l'industrie des portefeuilles matériels.
L'argument principal d'un portefeuille à froid est la sécurité. Il protège les clés privées par un isolement physique, rendant impossible pour un pirate d'atteindre les actifs centraux via une attaque réseau. Cette promesse, SafePal l'a tenue ; la fuite provient du système e-commerce, pas du système du portefeuille.
Mais le portefeuille à froid doit être vendu via des canaux e-commerce, qui par nature nécessitent la collecte d'informations d'identité réelles : nom, adresse, téléphone, pour la logistique. Une fois ces informations divulguées, elles marquent précisément "qui détient des actifs cryptographiques importants".
Ledger a vécu un incident presque identique en 2020 : les données (nom, e-mail, téléphone, adresse) d'environ 270 000 clients ont fuité. Suite à cette fuite, les victimes ont signalé une multitude d'attaques de phishing très ciblées et de détournements de cartes SIM. Certains utilisateurs ont même reçu des menaces de mort. Le PDG de Ledger a par la suite présenté des excuses publiques, reconnaissant des manquements dans les pratiques de conservation des données et de sécurité.
SafePal fait face aujourd'hui à la répétition de la même leçon, la différence étant l'échelle plus réduite (39,8k vs 270k), mais le scénario des attaquants est exactement le même.
Que devriez-vous faire ?
SafePal fournit dans son avis les conseils de sécurité standard : ne partagez jamais votre phrase de récupération, ne cliquez pas sur des liens inconnus, saisissez manuellement l'adresse du site officiel plutôt que de cliquer sur un lien dans un e-mail.
Mais pour les utilisateurs concernés, certaines actions plus concrètes méritent d'être envisagées.
L'étape la plus urgente est de vérifier si vous avez reçu des notifications "de mise à jour de micrologiciel" ou "de rappel de produit" au nom de SafePal. Si vous avez déjà saisi votre phrase de récupération sur une page suspecte, créez immédiatement un nouveau portefeuille et transférez-y vos actifs. SafePal indique clairement dans son avis qu'il ne demandera jamais votre phrase de récupération par téléphone, e-mail ou tout autre canal.
Utilisez la page de vérification dédiée de SafePal avec votre numéro de commande pour vérifier si vous êtes concerné. Si c'est le cas, vous pouvez demander la suppression de vos informations personnelles. Dans les prochains mois, considérez comme suspect tout courrier postal ou colis mentionnant SafePal ou les portefeuilles à froid. SafePal déclare explicitement ne jamais envoyer de courrier postal.
Si votre adresse de livraison est également le lieu où vous stockez vos actifs cryptographiques, évaluez sérieusement vos mesures de sécurité physique. Cela peut sembler une réaction excessive, mais après la fuite de Ledger, des utilisateurs ont réellement subi des menaces physiques à cause de ces données.
L'industrie cryptographique a passé dix ans à éduquer les utilisateurs sur la nécessité de "garder sa clé privée en sécurité". Les leçons de SafePal et Ledger montrent que les attaquants ont déjà contourné la clé privée ; ils visent désormais la personne qui la détient. Au moment où l'information "qui détient des actifs cryptographiques" est divulguée, même le stockage à froid le plus robuste ne peut plus assurer la protection.
Le maillon le plus faible de la chaîne de sécurité n'a jamais été la puce ou la cryptographie, c'est l'humain.
