يومٌ آخر، وتنبيهٌ أمنيٌّ آخر. تقول شركة تريزور (Trezor) المصنِّعة للمحافظ الصلبة إن خرقًا مرتبطًا بشريك الشحن Shipmonk كشف المعلومات الشخصية لنحو 67,000 عميل إضافي في الولايات المتحدة، بعدما ظلت سجلات تقول تريزور إنه كان ينبغي حذفها محفوظةً داخل أنظمة المورّد بدلًا من إزالتها.
يتفاقم تسريب بيانات تريزور مع انكشاف 67,000 مشترٍ إضافي في الولايات المتحدة
بقلم
مشاركة
أبرز النقاط
- أضافت تريزور 67,000 عميلًا في الولايات المتحدة إلى خرق Shipmonk في 4 سبتمبر.
- يشمل تسريب تريزور الآن نحو 80,000 شخص، بما في ذلك عناوين المنازل.
- تستهدف تريزور إتاحة “التوصيل المجهول” في الولايات المتحدة بحلول نهاية 2026.
تغطي السجلات التي تم تحديدها حديثًا طلباتٍ في الولايات المتحدة وُضعت بين نوفمبر 2019 وأغسطس 2021، وتوسّع حادثة كانت قد أثّرت بالفعل في 13,689 عميلًا أحدث عبر عدة دول. وبالمجمل، يشمل الخرق الآن نحو 80,000 شخص، رغم أن أنظمة تريزور وأجهزتها والمفاتيح الخاصة ونسخ المحافظ الاحتياطية لم تتعرض للاختراق.
تريزور تعثر على 67,000 عميل أمريكي إضافي ضمن الخرق
عقب الإفصاح الأخير، قالت تريزور إنها علمت في 2 سبتمبر بأن خرق Shipmonk كان أكبر مما أُبلغ عنه في البداية. وتتضمن السجلات الأقدم أسماء العملاء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن وأرقام الطلبات، ما يمنح المهاجمين معلومات قد تجعل عمليات الاحتيال أكثر إقناعًا بكثير.
ويُعدّ هذا الاكتشاف مقلقًا على نحوٍ خاص لأن تريزور تقول إنها طلبت مرارًا من Shipmonk حذف المعلومات وتلقت تأكيدًا كتابيًا بأنها أزيلت. وقالت تريزور إن هذه التأكيدات كانت متسقة مع عقدها وسياسة البيانات والاتصالات السابقة مع مزوّد خدمات الإيفاء.
وهذا يثير أيضًا تساؤلات حول سياسة الاحتفاظ بالبيانات لمدة 90 يومًا التي تعلن عنها تريزور مع شركاء الإيفاء. فالسجلات التي اكتُشفت حديثًا تعود إلى سنوات، ما يوضح أن السياسة لم تُطبَّق على عملاء الولايات المتحدة المتأثرين خلال 2019-2021.
تسريب العناوين يدفع التهديد إلى ما يتجاوز تصيّد البريد الإلكتروني
لا تتيح المعلومات المكشوفة للمهاجم الوصول عن بُعد إلى محفظة تريزور. ولم تكن المفاتيح الخاصة وعبارات الاسترداد (Seed Phrases)، وهي كلمات الاستعادة السرية المستخدمة للتحكم في محفظة العملات الرقمية، جزءًا من الخرق.
لكن نوع المعلومات المكشوفة يخلق مشكلة مختلفة. فقد حذرت تريزور من أن أرقام الهواتف وعناوين المنازل المسربة قد تعرّض العملاء المتأثرين لخطر جسدي محتمل، في حين يمكن لأرقام الطلبات الحقيقية وتفاصيل الاتصال أن تساعد المحتالين على انتحال صفة الشركة بشكلٍ أكثر إقناعًا.
وقد نشأ الخرق خارج تريزور. إذ استغل المهاجمون ثغرة حقن SQL غير معروفة سابقًا في Metabase، وهي منصة تحليلات تستخدمها Shipmonk. وأخطرت Metabase شركة Shipmonk في نحو 6 أغسطس، وقامت بإصلاح الثغرة وإبطال الجلسات، فيما أوضحت Shipmonk لاحقًا أنها أمّنت أنظمتها.
إخفاقات بيانات الأطراف الثالثة تضع مشتري المحافظ الصلبة في خطر
تأتي هذه الحادثة بعد تعرضات أخرى لطرف ثالث شملت عملاء تريزور. فقد تأثر نحو 106,856 عميلًا في حادثة عام 2022، بينما كشف بوابة دعم مخترقة في 2024 ما يصل إلى 66,000 اسم وعنوان بريد إلكتروني. وفي كل حالة، لم تُخترق المحافظ الصلبة نفسها عن بُعد.
ويهم هذا التمييز العملاء عند اتخاذ قرار بشأن كيفية الاستجابة. وتحذر تريزور من أن لا أحد من الشركة سيطلب نسخة احتياطية للمحفظة، ما يعني أن على العملاء عدم إدخال عبارة الاسترداد الخاصة بهم في أي موقع أو تسليمها لأي شخص يزعم أنه يقدم دعمًا.
تريزور تروّج للتوصيل المجهول بينما يظل مستقبل Shipmonk غير محسوم
تروّج تريزور الآن لنظام “التوصيل المجهول” المصمم لتقليل مقدار معلومات العملاء المحتفَظ بها أثناء شراء المحافظ الصلبة. ويشمل النظام الاستلام من الخزائن، والتغليف المحايد، ومرسلًا عامًا، والحذف التلقائي لمعرّفات الشحن بعد التسليم، مع استهداف إطلاق أوروبي في سبتمبر وتوسّع في الولايات المتحدة مخطط له بحلول نهاية 2026.
وفي الوقت الراهن، لم تعلن تريزور عن خطط للتخلي عن Shipmonk. وكانت الشركة قد قالت سابقًا إنها ستحدد مستقبل الشراكة بعد الحصول على صورة كاملة عن الحادثة، ما يترك هذا القرار غير محسوم حتى مع اقتراب العدد المعروف للمتأثرين من 80,000. وتأتي هذه القضية بعد عدد من حوادث المحافظ الصلبة المخيفة التي حدثت في 2026، مرتبطة بـ Safepal ومحافظ Coldcard.
تمت ترجمة هذه المقالة من الإنجليزية باستخدام الذكاء الاصطناعي. النسخة الإنجليزية الأصلية هي المصدر الموثوق؛ وقد تحتوي الترجمات الآلية على أخطاء، لا سيما في المصطلحات القانونية والتنظيمية.
