Коротко

  • Порушення безпеки в ShipMonk, одному з партнерів Trezor з виконання замовлень, призвело до витоку персональних даних 13 689 клієнтів Trezor.
  • Повні імена, номери телефонів, електронні адреси та поштові адреси були отримані для 11 742 з них.
  • Trezor заявляє, що жоден пристрій, закритий ключ або резервна копія гаманця не постраждали, а їхні системи не були скомпрометовані.

Порушення безпеки даних в одного з постачальників логістичних послуг Trezor призвело до витоку імен, номерів телефонів, електронних адрес та домашніх адрес тисяч клієнтів виробника апаратних гаманців, повідомила компанія у четвер.

ShipMonk, яка зберігає та відправляє продукцію Trezor, повідомила компанію в понеділок, що несанкціонована сторона отримала доступ до систем, що містять дані клієнтів. Приблизно 11 742 клієнти мали повні дані, а ще 1 947 – імена, міста та електронні адреси, загалом 13 689. Постраждалі розміщували замовлення з 10 травня по 8 серпня, і вони були доставлені до Сполучених Штатів, Великобританії, Швеції, Колумбії, Бразилії, Італії або Португалії.

Trezor заявив, що його власні системи не були скомпрометовані, і жоден пристрій, закритий ключ або резервна копія гаманця не були зачеплені. Компанія пояснила обмежений масштаб політикою, яка вимагає від партнерів видаляти або анонімізувати дані замовлень через 90 днів після доставки, тому старі замовлення більше не зберігалися. Клієнти, які не отримали сповіщення електронною поштою, не постраждали, зазначили в компанії. За 13 років, додали в компанії, у них ніколи раніше не було порушення, яке б призвело до витоку номерів телефонів та поштових адрес клієнтів.

Фішинг та «атаки з використанням викрутки»

Після того, як приблизно 272 000 клієнтів Ledger оприлюднили імена, адреси та номери телефонів, деякі почали отримувати вимоги викупу з погрозами насильства. Один з них розповів Decrypt, що отримував кілька електронних листів і текстових повідомлень на день, а інші пізніше повідомляли про отримання фішингових дзвінків від людей, які говорили так, ніби знали їх.

Ці загрози тепер мають більше супутників: CertiK підтвердив 52 фізичні атаки на власників криптовалют у світі за першу половину 2026 року, порівняно з 39 роком раніше, а вторгнення в будинки випередило викрадення людей як найпоширеніший метод. Chainalysis оцінює суму викраденого понад 30 мільйонів доларів за той самий період і заявив, що рік, схоже, стане найгіршим за всю історію спостережень.

Це не перший подібний інцидент, що вразив ланцюжок постачання апаратних гаманців. Ledger розкрив порушення у свого партнера з електронної комерції Global-e у січні, а фірми з виробництва апаратних гаманців попередили про сплеск фішингу цього місяця, оскільки збитки від експлойту Coldcard наблизилися до 130 мільйонів доларів.

Ця новина з'являється, коли користувачів апаратних гаманців сколихнув нещодавній експлойт Coldcard. Деякі з 233 000 BTC, які залишили гаманці довгострокових власників під час зламу Coldcard, вартістю приблизно 15 мільярдів доларів, надійшли від власників Ledger і Trezor, а не від клієнтів Coldcard, і були переміщені до мультипідписних схем після спостереження за розгортанням експлойту, згідно з Casa.

Trezor заявив, що впроваджує опцію анонімної доставки з використанням поштоматів, нейтрального пакування, загальних даних відправника та автоматичного видалення ідентифікаторів доставки, спрямовану на Європейський Союз до вересня та Сполучені Штати до кінця року.