Trezor: wyciek danych objął kolejne 67 tys. osób

Wyciek w Trezorze okazał się większy

Producent portfeli sprzętowych Trezor poinformował, że skutki wycieku danych z jego partnera logistycznego są znacznie większe, niż początkowo zakładano. Z najnowszej aktualizacji wynika, że problem dotyczy dodatkowych 67 tys. klientów ze Stanów Zjednoczonych.

To oznacza, że łączna liczba osób objętych incydentem wzrosła do około 80,7 tys., podczas gdy jeszcze w sierpniu firma szacowała skalę naruszenia na zaledwie 13 689 rekordów.

Jakie dane wyciekły?

Według przekazanych informacji ujawnione mogły zostać:

• imię i nazwisko,
• adres e-mail,
• numer telefonu,
• adres dostawy,
• dane zamówienia.

Dotyczy to klientów, którzy składali zamówienia między listopadem 2019 r. a sierpniem 2021 r..

Problem nie dotyczy samych urządzeń

Trezor podkreśla, że jego własne systemy nie zostały naruszone. Nie doszło też do przejęcia urządzeń, kluczy prywatnych ani kopii zapasowych portfeli.

Ryzyko polega jednak na czymś innym: atakujący mogą wykorzystać wyciekłe dane do phishingu i social engineeringu, podszywając się pod Trezor. Celem takich działań zwykle jest wyłudzenie seed phrase, czyli frazy odzyskiwania dającej dostęp do portfela.

Firma ponownie przypomniała, że seed phrase nigdy nie powinna być wpisywana na stronie internetowej ani udostępniana komukolwiek.

Skąd wziął się wyciek?

Źródłem incydentu był partner wysyłkowy ShipMonk. Trezor twierdzi, że wielokrotnie otrzymywał od firmy pisemne zapewnienia, iż dane zostały usunięte zgodnie z ustaleniami umownymi. Okazało się jednak, że część rekordów nie zniknęła z systemów.

Według wcześniejszych założeń dane miały być kasowane po 90 dniach, ale rzeczywisty zasięg wycieku pokazuje, że ta polityka nie została skutecznie wdrożona.

Dlaczego to poważne zagrożenie?

Takie informacje mogą służyć nie tylko do ataków online. Znając imię, adres i fakt posiadania sprzętowego portfela, przestępcy mogą próbować również bardziej agresywnych form nacisku, w tym fałszywych listów, telefonów czy wiadomości.

To istotne, bo w świecie krypto dane osobowe często pozostają użyteczne przez lata, a ujawnione adresy i numery telefonów rzadko szybko tracą aktualność.

Trezor szuka bezpieczniejszej dostawy

Firma zapowiedziała, że pracuje nad rozwiązaniem opartym na anonimowej dostawie. W praktyce ma to oznaczać odbiór w skrytce lub punkcie, neutralne opakowanie i ogólne dane nadawcy, tak aby klient nie musiał podawać domowego adresu.

Incydent z Trezorem pokazuje, że nawet jeśli sam hardware wallet pozostaje bezpieczny, to wyciek danych z otoczenia usługi może stworzyć realne ryzyko dla użytkowników.