Une famille française a été ligotée pendant des heures par des agresseurs qui en voulaient à ses cryptomonnaies. La police n’a pas indiqué comment les agresseurs avaient choisi la maison, et c’est dans cette zone d’ombre que se situe le problème des données dans le secteur.
Vers 4 heures du matin, le 20 septembre, quatre hommes cagoulés ont fait irruption dans une maison familiale du nord de la France. Ils ont ligoté les parents et leurs deux enfants avec du ruban adhésif noir et forcé le père à leur remettre ses codes d’accès et à transférer 40 000 euros.
Le père est salarié dans l’informatique au sein du secteur des cryptomonnaies. Les procureurs n’ont pas encore indiqué comment les agresseurs l’avaient identifié.
Un incident distinct survenu le même mois a montré à quel point ce type d’informations peut facilement fuiter. Le 13 août, le fabricant de portefeuilles matériels Trezor a informé 13 689 clients qu’une faille chez l’un de ses prestataires d’expédition avait exposé des données sensibles sur leurs commandes. Le nombre de clients concernés a dépassé les 80 000..
Rien ne relie les deux affaires, et ce n’est pas nécessaire. Ensemble, elles révèlent le même risque sous deux angles : une base de données associant une adresse personnelle à la preuve que son propriétaire détient des cryptomonnaies, et ce qui se passe quand quelqu’un exploite cette association.
BeInCrypto s’est entretenu avec des experts de Hacken et de Zama pour découvrir ce qu’un prestataire doit à ses clients lorsqu’un fournisseur fait fuiter leur identité, quelles données le secteur devrait cesser de conserver et comment un client pourrait savoir qu’un dépositaire ne saura pas le protéger en cas de coercition.
Ce que « aucune clé compromise » ne dit pas
Lorsque Trezor a annoncé la faille en août, l’entreprise a tenu à souligner ce qui ne s’était pas produit. Ses propres systèmes n’avaient pas été compromis, a-t-elle déclaré, et ses appareils étaient sécurisés.
Ces assurances répondaient au risque que les portefeuilles matériels sont conçus pour prévenir : le vol de fonds.
Cependant, Dmytro Yasmanovych, responsable GRC et des opérations de sécurité chez Hacken, a expliqué que l’absence de vol de clé privée ne signifie pas que les clients sont à l’abri..
« Quelqu’un qui connaît votre nom, votre adresse personnelle et sait que vous possédez un portefeuille matériel dispose d’informations qu’il peut utiliser pour vous prendre pour cible. Vous pouvez remplacer une clé compromise en quelques minutes. Vous ne pouvez pas en faire autant avec votre adresse personnelle. »
Il estime que c’est pourquoi les informations détenues par les entreprises de livraison et les autres prestataires méritent autant d’attention que le portefeuille lui-même. Si une base de données relie un détenteur de crypto-actifs à son domicile, les conséquences peuvent aussi toucher sa famille, a ajouté Yasmanovych.
« Un prestataire peut donc empêcher quiconque d’accéder à vos fonds tout en vous laissant exposé d’une manière bien plus personnelle. La question est de savoir si ses mesures de sécurité protègent le client, et pas seulement le portefeuille. »
Les chiffres français derrière l’avertissement
La France montre à quoi cela ressemble. Fin juin, le ministre de l’Intérieur Laurent Nuñez a déclaré que les autorités avaient recensé plus de 70 incidents violents liés aux cryptomonnaies depuis janvier.
Chainalysis, qui a comptabilisé les cas signalés publiquement, en a dénombré 30 en France jusqu’à la mi-2026, contre 19 pour l’ensemble de 2025.
L’entreprise estime qu’une violation de données est la cause la plus probable. Elle cite une affaire datant de 2024 dans laquelle un agent du fisc français aurait volé des dossiers sur des détenteurs de cryptomonnaies fortunés, contenant notamment leurs adresses et numéros de téléphone, puis les aurait vendus à des intermédiaires criminels.
L’exposition des familles décrite par Yasmanovych apparaît dans ces mêmes données. En France, plus de 40 % des incidents visaient un proche plutôt que le détenteur. Dans l’ensemble, les intrusions à domicile représentaient 37 % des attaques documentées à la mi-2026, contre 26 % en 2023.
Chainalysis a estimé que les attaques violentes contre des détenteurs dans le monde ont rapporté plus de 30 millions de dollars au premier semestre de l’année. Ce chiffre ne prend en compte que les attaques au cours desquelles le détenteur a cédé ses fonds.
Le rapport évalue l’exposition totale à 107 millions de dollars, en incluant les demandes de rançon, les transferts bloqués et les fonds récupérés, tout en précisant que ce chiffre ne couvre que les cas signalés.
Les données derrière la cible
Pour mener ces attaques, il faut une cible, et celle-ci peut être trouvée dans un dossier conservé par quelqu’un. La conservation des données constitue donc un autre enjeu de sécurité pour le secteur des cryptomonnaies.
Les entreprises peuvent avoir besoin d’informations sur leurs clients pour une transaction ou un service précis. Cependant, les conserver indéfiniment peut créer un risque supplémentaire si ces informations sont exposées par la suite. Alors, quelles informations sur les clients le secteur devrait-il cesser de recueillir, ou supprimer plus tôt qu’il ne le fait actuellement ?
Yasmanovych cite le numéro de téléphone. Il explique qu’une entreprise peut en avoir besoin pour organiser une livraison, mais que cela ne justifie pas de le conserver pendant des années dans une base de données clients.
Ainsi, en cas de fuite de la base de données, le numéro peut être utilisé à des fins d’hameçonnage, d’arnaques par téléphone ou de fraude au remplacement de carte SIM.
« Je supprimerais le lien entre une commande et une adresse de livraison physique une fois la livraison effectuée, dès lors qu’il n’y a plus de raison commerciale de le conserver. L’entreprise peut garder les informations nécessaires à des fins fiscales et de garantie sans conserver un historique complet des adresses auxquelles chaque commande a été livrée. »
Il a évoqué un autre problème : la suppression des données repose souvent sur la simple déclaration de quelqu’un affirmant qu’elle a été effectuée.
« Dans un cas, une entreprise avait une règle de conservation de quatre-vingt-dix jours et une confirmation écrite de son prestataire logistique indiquant que les anciens dossiers avaient été supprimés. Pourtant, des années de données se trouvaient encore dans ses systèmes. C’est pourquoi je voudrais obtenir une preuve de suppression, et pas seulement une politique de conservation. Si personne ne vérifie que la règle a été respectée, elle n’offre que peu de protection. »
Cette responsabilité s’étend également à la manière dont le fournisseur réagit après l’exposition des informations des clients. Selon Yasmanovych, en plus d’envoyer un e-mail d’avertissement, il doit expliquer précisément quelles informations ont été exposées.
« La fuite d’une ville est une chose. Un nom, une adresse personnelle et la preuve de la détention de cryptomonnaies représentent un niveau de risque tout autre… Une personne dont l’adresse a été divulguée peut avoir besoin d’aide pour organiser ses prochaines livraisons sans la communiquer à nouveau… Il devrait y avoir une personne ou une équipe à contacter directement lorsque la situation exige davantage qu’une FAQ standard. »
Il a indiqué que le prestataire doit également s’attaquer aux causes de cette fuite. Si le fournisseur conserve les données au-delà de la durée de conservation convenue, les clients doivent être informés des mesures qui seront prises pour éviter que cela se reproduise et de la manière dont la suppression sera vérifiée à l’avenir.
« Un e-mail d’alerte, c’est un début. Les gens doivent savoir ce qui s’est passé, ce qu’ils peuvent faire maintenant et si l’entreprise a réellement corrigé le processus défaillant. »
La réaction de Trezor à sa propre fuite peut être évaluée à l’aune de ces critères. L’entreprise a envoyé un e-mail personnalisé à chaque client concerné, en précisant si ses données avaient été exposées en totalité ou en partie, et en les mettant en garde contre le phishing et, en septembre, contre les risques liés à la sécurité physique.
L’entreprise a également promis de proposer une option de livraison anonyme avec retrait en consigne, emballage neutre et suppression automatique des identifiants d’expédition.
La technologie au service de la confidentialité peut-elle combler cette lacune ?
Le problème ne se limite pas aux données que les entreprises stockent hors chaîne. À mesure que les activités financières se déplacent vers les blockchains publiques, les transactions elles-mêmes peuvent créer une nouvelle source d’exposition.
Le PDG et cofondateur de Zama, le Dr Rand Hindi, a déclaré que l’incident de Trezor mettait en évidence un problème de conservation des données hors chaîne.
Il a fait valoir qu’à mesure que les capitaux institutionnels passent à grande échelle sur la chaîne, la confidentialité des transactions sur la chaîne cesse d’être une fonctionnalité et devient une condition de participation. Hindi a cité une estimation de BCG selon laquelle les actifs numériques du monde réel pourraient représenter environ 16 % des actifs mondiaux disponibles à l’investissement d’ici 2035.
Il a déclaré que les institutions réglementées ne peuvent pas opérer sur un registre public où chaque position et chaque relation avec une contrepartie sont visibles. Le dirigeant a évoqué le chiffrement entièrement homomorphe (FHE) comme un moyen de répondre à ce problème sans sacrifier la conformité.
« Le FHE permet d’effectuer des calculs directement sur des données chiffrées : un transfert est exécuté, un seuil de lutte contre le blanchiment d’argent est vérifié, l’admissibilité est confirmée, le tout sur des données chiffrées — sans qu’un validateur ni un explorateur de blocs ne puisse jamais voir un solde ou d’autres données sensibles. Lorsqu’un régulateur exige l’accès aux données, un seuil autorisé de détenteurs de clés (l’équipe de conformité) donne son accord au déchiffrement, qui est appliqué au niveau du protocole et non par le biais d’une politique. »
Les technologies de protection de la vie privée peuvent également limiter la quantité d’informations que les entreprises doivent divulguer sans rendre toute vérification impossible.
Yasmanovych a expliqué que les preuves à divulgation nulle de connaissance peuvent permettre à une plateforme d’échange de démontrer qu’elle détient suffisamment d’actifs pour couvrir les soldes de ses clients, sans publier le solde de chaque client.
La plateforme peut donc partager des éléments attestant de sa position globale sans exposer les informations des comptes individuels. L’expert a ajouté que cela ne signifie pas que ces informations deviennent inaccessibles.
Selon la conception du système, un enquêteur autorisé peut toujours examiner les éléments de preuve et les documents sous-jacents dans le cadre d’un audit approprié ou d’une procédure judiciaire.
Il a ajouté que la divulgation sélective repose sur un principe similaire lorsqu’il s’agit de partager des informations d’identité. Un service peut avoir besoin de vérifier qu’une personne remplit une condition particulière sans recevoir l’intégralité de sa pièce d’identité ou de son profil client.
« Aucune des deux approches ne résout le problème des données personnelles conservées hors de la blockchain. Les montants des transactions, leur calendrier et les liens entre les portefeuilles peuvent rester visibles, tandis que les pièces d’identité et les adresses personnelles continuent de se trouver dans les bases de données des plateformes d’échange, des services de livraison et des prestataires de paiement. »
Yasmanovych a souligné que la lacune est assez évidente. Une entreprise peut renforcer la confidentialité de la transaction elle-même tout en laissant ailleurs à découvert les informations nécessaires à la livraison et à l’assistance liées à cette transaction.
Quand les justificatifs sont authentiques, mais que le client n’est pas libre
La distinction entre la confidentialité des transactions et la sécurité des personnes devient encore plus importante lorsqu’un client est contraint d’autoriser un transfert. Un dépositaire peut disposer d’une infrastructure sécurisée et de contrôles d’accès rigoureux.
Mais ces mesures de protection sont mises à l’épreuve différemment lorsqu’un client est contraint de céder ses actifs.
Yasmanovych a déclaré qu’un audit technique peut démontrer que le système fonctionne comme prévu. Il est moins utile pour comprendre ce qui se passe lorsqu’une personne est contrainte de céder ses actifs.
« Je testerais le processus de retrait dans ce genre de situation. Par exemple, un client disposant d’identifiants valides demande un virement important alors que quelqu’un le contraint. Le prestataire peut-il repérer la situation, suspendre le retrait ou faire intervenir quelqu’un d’autre avant que l’argent ne parte ? »
Les mesures de contrôle qu’il juge indispensables sont l’intervention d’une deuxième personne habilitée et un délai obligatoire pour les virements importants, que le client ne peut pas supprimer au cours de la même session. Yasmanovych a souligné que l’objectif est de donner au prestataire la possibilité d’intervenir, car une connexion valide ne signifie pas nécessairement que le client agit librement.
« Je demanderais aussi à voir le processus en action. Une politique peut imposer une deuxième approbation, mais cela ne permet pas de savoir si celle-ci est réellement indépendante ni si le personnel peut contourner la procédure. Un test en conditions réelles révélerait ces failles bien plus vite qu’un nouvel audit technique sans anomalie. »
Un système de conservation peut fonctionner exactement comme prévu et pourtant ne pas protéger la personne qui l’utilise. La dernière étape passe toujours par un être humain, et un être humain peut être menacé.
Source : BeInCrypto
