Piratage de Brevo : cet email qui semble officiel de Trezor peut vider votre portefeuille crypto en quelques minutes

Un email au logo de Trezor, envoyé depuis l’adresse officielle et validé par tous les filtres anti-spam, peut aujourd’hui vider un portefeuille crypto en quelques minutes. Depuis le 9 septembre 2026, des messages alarmants parlant de failles critiques ou de fuites de données arrivent dans les boîtes de centaines de milliers d’utilisateurs, avec à la clé des demandes de télécharger une application ou de saisir une phrase de récupération.

En toile de fond, c’est la société de marketing numérique Brevo qui a été compromise, permettant à des attaquants d’exploiter ses comptes clients pour lancer une attaque de phishing Brevo d’une ampleur inédite dans l’écosystème crypto. Brevo, Trezor, BitBox, CoinTracking et plusieurs autres acteurs se retrouvent embarqués dans le même incident, tandis que les mails frauduleux continuent de circuler : pour les utilisateurs, démêler le vrai du faux devient soudain beaucoup plus compliqué.

Brevo piraté : une attaque de phishing massive vise Trezor, BitBox et CoinTracking

Brevo se présente sur son site comme « la seule alternative française pour tous vos canaux marketing et ventes ». Le 10 septembre à 6h30 UTC, l’entreprise dit avoir identifé un problème de sécurité dans la manière dont elle gère le SSO SAML, qui a permis à un attaquant d’accéder à 138 comptes Brevo. Selon son compte rendu, 6 de ces comptes ont servi à envoyer des emails de phishing, les contacts de 43 comptes ont été exportés, tandis qu’aucune activité significative n’a été constatée sur 93 autres. La plateforme affirme avoir « bloqué le point d’entrée utilisé par le hacker » et promet de « contacter directement chaque client concerné afin de lui communiquer les informations spécifiques à son compte ».

Parmi les victimes de ce piratage du prestataire d’emailing, le cas le plus documenté reste celui de Trezor. Le 9 septembre 2026, des attaquants envoient à environ 347 000 abonnés un message titré « Critical Security Alert: STM32 Entropy Vulnerability », prétendant qu’une faille d’entropie affecte les puces STM32 de nombreux portefeuilles. Le lien renvoie vers une application qui réclame la phrase de récupération de 12 ou 24 mots : une fois celle-ci saisie, l’intégralité du wallet peut être reconstruite et vidée. Sur X, la marque tchèque a prévenu : « Sachez que l’email intitulé « Critical Security Alert: STM32 Entropy Vulnerability » ne vient pas de nous, il s’agit d’une tentative de phishing. Ne cliquez sur aucun lien », rapportait The Block. Le domaine frauduleux a été fermé en une vingtaine de minutes, mais environ 2 500 personnes avaient déjà cliqué sur le lien.

Comment se déroule l’attaque de phishing Brevo et quels réflexes adopter

Le cas Trezor n’est pas isolé. Côté CoinTracking, un email intitulé « Data Breach Notice: Please refresh API Keys as soon as possible » circule, alors qu’il ne provient pas de l’équipe légitime. Selon Christian Wind, cofondateur de Seedor et Bitsurance, il s’agit « d’e-mails de phishing usurpant l’identité de CoinTracking, Trezor et BitBox, et probablement plusieurs autres dans l’industrie, [qui] circulent actuellement ». Le fabricant suisse BitBox a confirmé avoir observé une campagne similaire visant ses propres utilisateurs, expliquant que « Plusieurs autres entreprises bitcoin ont été visées et semblent avoir utilisé le même prestataire ». Dans tous les cas, les messages exploitent la peur d’une brèche critique pour pousser à des actions irréversibles.

Techniquement, ces emails sont particulièrement piégeux, car ils passent les contrôles d’authentification SPF, DKIM et DMARC. Ils partent réellement des comptes Brevo des marques, et non de serveurs usurpés, ce qui leur donne tous les apparats d’un message officiel. Trezor a insisté sur ce point en rappelant le rôle de son prestataire : « Notre fournisseur de messagerie tiers a été victime d’une cyberattaque. Veuillez noter que le courriel intitulé « Alerte de sécurité critique : Vulnérabilité d’entropie STM32 » ne provient pas de nous et qu’il s’agit d’une tentative d’hameçonnage. Ne cliquez sur aucun lien. Nous avons désactivé le domaine concerné et nous enquêtons actuellement sur la situation, notamment sur la manière dont les pirates ont pu accéder à notre domaine légitime. » Pour les détenteurs de portefeuilles matériels, le risque ne devient réel que si une information sensible, en particulier la phrase de récupération, a été tapée dans une application ou un site tiers.

Pour Trezor, cet épisode s’ajoute à une série noire : mi-août 2026, une fuite chez son logisticien ShipMonk avait déjà exposé les données de 13 689 clients, avant d’être réévaluée début septembre à 80 689 personnes concernées. L’incident Brevo élargit encore la surface d’attaque, puisque les contacts de 43 comptes ont été exportés et pourront servir de base à de nouvelles vagues de mails frauduleux dans les semaines à venir. Dans ce contexte, quelques règles restent décisives : vérifier systématiquement l’adresse d’envoi, se méfier des messages qui cherchent à provoquer la panique, refuser de communiquer toute donnée sensible liée à un compte ou à une clé privée. Pour les utilisateurs touchés par cette attaque de phishing en cours, garder son sang-froid face à un email trop alarmiste devient la première ligne de défense.