Na datalek bij Trezor laait discussie over fysieke veiligheid crypto bezitters opnieuw op

Het recente datalek bij een verzendpartner van Trezor zorgt opnieuw voor discussie over een gevoelig probleem binnen de crypto wereld: wat gebeurt er wanneer de naam en het woonadres van een crypto bezitter uitlekken? De situatie doet sterk denken aan het grote Ledger datalek uit 2020. Zes jaar later ontvangen sommige getroffen Ledger klanten nog altijd phishingberichten en verdachte telefoontjes, terwijl in Frankrijk het aantal fysieke aanvallen rond crypto sterk is toegenomen.

Ledger datalek uit 2020 blijft relevant

Bij Trezor zijn recent gegevens van 13.689 klanten blootgesteld via logistiek partner ShipMonk. Bij 11.742 mensen gaat het onder meer om de volledige naam, het telefoonnummer, e mailadres en verzendadres.

Hoewel de hardware wallets zelf veilig blijven, kan juist die persoonlijke informatie gevaarlijk zijn. Een kwaadwillende kan uit de gegevens afleiden dat iemand op een specifiek adres een hardware wallet heeft laten bezorgen en daardoor mogelijk crypto bezit.

Die situatie doet denken aan Ledger. In 2020 wordt een database van het bedrijf buitgemaakt die later publiek op internet verschijnt. Uiteindelijk blijken ongeveer 272.000 records met onder meer namen, telefoonnummers en fysieke adressen te zijn gelekt. Daarnaast worden meer dan één miljoen e-mailadressen getroffen.

De gevolgen stoppen niet wanneer het datalek uit het nieuws verdwijnt. Gelekte databases kunnen eindeloos worden gekopieerd. Ledger klanten melden jaren later nog altijd phishing pogingen en telefoontjes. Een wachtwoord kun je veranderen, maar verhuizen vanwege een gelekt woonadres is een heel ander verhaal.

Fysieke aanvallen maken risico concreter

Dat gevaar krijgt extra gewicht door recente geweldsincidenten in Frankrijk. Volgens cijfers die in de discussie worden aangehaald, registreerden Franse autoriteiten in de eerste helft van 2026 al 77 zaken rond ontvoering, afpersing, wederrechtelijke vrijheidsberoving en pogingen daartoe die aan crypto zijn gekoppeld.

Chainalysis ziet eveneens een stijging. Het aantal gedocumenteerde aanvallen in Frankrijk zou zijn toegenomen van gemiddeld 1,9 per maand in 2025 naar 4,6 per maand in de eerste helft van 2026. Het aandeel woningovervallen binnen gewelddadige crypto incidenten stijgt daarbij van 14% naar 37%.

Ook familieleden zijn een doelwit. Meer dan 40% van de Franse incidenten zou zich richten op een familielid of andere bekende van de cryptobezitter.

Hoe ernstig dat kan worden, blijkt uit eerdere zaken. Ledger medeoprichter David Balland en zijn partner worden in januari 2025 vanuit hun woning ontvoerd. Balland wordt daarbij verminkt. Enkele maanden later wordt de vader van een crypto ondernemer ontvoerd en meer dan twee dagen vastgehouden, waarbij de daders een deel van zijn vinger afsnijden.

Bewaartermijn van tien jaar roept vragen op

Tegen die achtergrond ontstaat ook kritiek op de manier waarop Ledger klantgegevens bewaart. Volgens het aangehaalde privacybeleid verzamelt Ledger onder meer namen, e mailadressen, verzend en factuuradressen, telefoonnummers en bestelgegevens.

Ledger stelt dat gegevens vanwege wettelijke verplichtingen tien jaar worden bewaard en drie maanden na afronding van een bestelling worden gearchiveerd. Dat roept de vraag op welke persoonsgegevens daadwerkelijk tien jaar moeten worden bewaard en of bijvoorbeeld telefoonnummers en verzendadressen eerder kunnen worden verwijderd.

Die discussie wordt relevanter doordat Ledger klanten in januari 2026 opnieuw worden geraakt door een incident bij een externe e commercepartner, Global-e. Daarbij worden opnieuw contactgegevens en informatie over bestellingen blootgesteld.

Trezor kiest inmiddels voor een andere richting. Na het recente ShipMonk datalek werkt het bedrijf aan Anonymous Delivery, waarbij klanten hun hardwarewallet via een pakketkluis kunnen ontvangen zonder hun normale woonadres aan de bestelling te koppelen.