ट्रेज़ोर डेटा लीक में तेजी, 67,000 और अमेरिकी खरीदारों का डेटा हुआ उजागर

नए पहचान किए गए रिकॉर्ड नवंबर 2019 और अगस्त 2021 के बीच दिए गए अमेरिकी ऑर्डरों को कवर करते हैं और एक ऐसी घटना का विस्तार करते हैं जिसने पहले ही कई देशों में 13,689 और हाल के ग्राहकों को प्रभावित किया था। कुल मिलाकर, इस उल्लंघन में अब लगभग 80,000 लोग शामिल हैं, हालांकि ट्रेज़र की प्रणालियाँ, डिवाइस, निजी कुंजी और वॉलेट बैकअप समझौता नहीं हुए थे।

ट्रेज़र को उल्लंघन में 67,000 और अमेरिकी ग्राहक मिले

पिछले खुलासे के बाद, ट्रेज़र ने कहा कि उसे 2 सितंबर को पता चला कि शिपमोंक का उल्लंघन शुरू में रिपोर्ट किए गए से बड़ा था। पुराने रिकॉर्ड में ग्राहकों के नाम, ईमेल पते, फोन नंबर, शिपिंग पते और ऑर्डर नंबर शामिल हैं, जिससे हमलावरों को ऐसी जानकारी मिल जाती है जिससे धोखाधड़ी और भी अधिक विश्वसनीय हो सकती है।

यह खोज विशेष रूप से चिंताजनक है क्योंकि ट्रेज़र का कहना है कि उसने शिपमोंक से बार-बार जानकारी को हटाने के लिए कहा था और उसे लिखित पुष्टि मिली थी कि इसे हटा दिया गया है। ट्रेज़र ने कहा कि ये आश्वासन उसके अनुबंध, डेटा नीति और पूर्ति प्रदाता के साथ पिछले संचार के अनुरूप थे।

यह पूर्ति भागीदारों के साथ ट्रेज़र की विज्ञापित 90-दिन की डेटा प्रतिधारण नीति पर भी सवाल उठाता है। हाल ही में खोजे गए रिकॉर्ड कई साल पुराने हैं, जिससे पता चलता है कि प्रभावित 2019-2021 के अमेरिकी ग्राहकों के लिए इस नीति को लागू नहीं किया गया था।

लीक हुए पते ईमेल फ़िशिंग से परे खतरे को बढ़ाते हैं

खुलासा हुई जानकारी किसी हमलावर को ट्रेज़र वॉलेट को दूर से एक्सेस करने की अनुमति नहीं देती है। प्राइवेट कीज़ और सीड फ़्रेज़, क्रिप्टो वॉलेट को नियंत्रित करने के लिए उपयोग किए जाने वाले गुप्त रिकवरी शब्द, उल्लंघन का हिस्सा नहीं थे।

लेकिन उजागर हुई जानकारी का प्रकार एक अलग समस्या पैदा करता है। ट्रेज़र ने चेतावनी दी कि लीक हुए फोन नंबर और घर के पते संभावित रूप से प्रभावित ग्राहकों को शारीरिक खतरे में डाल सकते हैं, जबकि असली ऑर्डर नंबर और संपर्क विवरण धोखेबाजों को कंपनी का और अधिक विश्वसनीय रूप से भेष धारण करने में मदद कर सकते हैं।

यह उल्लंघन ट्रेज़र के बाहर शुरू हुआ। हमलावरों ने शिपमोंक द्वारा उपयोग किए जाने वाले एक एनालिटिक्स प्लेटफॉर्म, मेटाबेस में पहले से अज्ञात SQL-इंजेक्शन भेद्यता का फायदा उठाया। मेटाबेस ने लगभग 6 अगस्त को शिपमोंक को सूचित किया, भेद्यता को पैच किया और सत्रों को अमान्य कर दिया, जबकि शिपमोंक ने बाद में बताया कि उसने अपनी प्रणालियों को सुरक्षित कर लिया है।

तृतीय-पक्ष डेटा विफलताएं हार्डवेयर वॉलेट खरीदारों को जोखिम में डालती हैं

यह घटना ट्रेज़र ग्राहकों से जुड़ी अन्य तीसरे पक्ष की सुरक्षा चूकों के बाद हुई है। 2022 की एक घटना में लगभग 106,856 ग्राहक प्रभावित हुए थे, जबकि 2024 में एक समझौता किए गए सपोर्ट पोर्टल ने 66,000 तक नाम और ईमेल पते उजागर कर दिए। हर मामले में, हार्डवेयर वॉलेट स्वयं दूरस्थ रूप से प्रभावित नहीं हुए थे।

यह अंतर उन ग्राहकों के लिए मायने रखता है जो यह तय कर रहे हैं कि कैसे प्रतिक्रिया दें। ट्रेज़र चेतावनी देता है कि कंपनी का कोई भी व्यक्ति वॉलेट बैकअप नहीं मांगेगा, जिसका अर्थ है कि ग्राहकों को कभी भी अपनी सीड फ़्रेज़ किसी वेबसाइट में दर्ज नहीं करनी चाहिए या उसे किसी ऐसे व्यक्ति को नहीं देना चाहिए जो सहायता प्रदान करने का दावा कर रहा हो।

ट्रेज़र ने शिपमोंक के भविष्य को लेकर अनिश्चितता के बीच गुमनाम डिलीवरी को बढ़ावा दिया है

ट्रेज़ोर अब एक गुमनाम डिलीवरी प्रणाली को बढ़ावा दे रहा है, जिसे हार्डवेयर वॉलेट की खरीदारी के दौरान ग्राहक की जानकारी को कम रखने के लिए डिज़ाइन किया गया है। इस प्रणाली में लॉकर पिकअप, तटस्थ पैकेजिंग, एक सामान्य प्रेषक, और डिलीवरी के बाद शिपिंग पहचानकर्ताओं का स्वचालित रूप से विलोपन शामिल है, जिसका यूरोपीय लॉन्च सितंबर के लिए लक्षित है और 2026 के अंत तक अमेरिकी रोलआउट की योजना है।

फिलहाल, ट्रेज़र ने शिपमोंक को छोड़ने की कोई योजना घोषित नहीं की है। कंपनी ने पहले कहा था कि वह घटना की पूरी तस्वीर मिलने के बाद साझेदारी के भविष्य का फैसला करेगी, और यह निर्णय अभी भी अनसुलझा है, जबकि प्रभावित ग्राहकों की ज्ञात संख्या 80,000 के करीब पहुंच रही है। यह मुद्दा 2026 में सेफपाल और कोल्डकार्ड वॉलेट से जुड़ी हुई कई डरावनी हार्डवेयर वॉलेट घटनाओं के बाद सामने आया है।