Trezorov pružatelj usluga dostave izložio je 13.689 kripto korisnika prijevarama

Prema sigurnosnom ažuriranju tvrtke, pogođeni kupci primili su narudžbe u Sjedinjenim Američkim Državama, Ujedinjenoj Kraljevini, Švedskoj, Kolumbiji, Brazilu, Italiji ili Portugalu tijekom 90 dana prije 8. kolovoza, napisao je Trezor. Proizvođač hardverskih novčanika rekao je da ga je Shipmonk 10. kolovoza obavijestio o neovlaštenom pristupu sustavima koji su sadržavali podatke o kupcima.

Trezor je naveo da je 11.742 kupaca imalo izložena puna imena, adrese e-pošte, telefonske brojeve i adrese za dostavu. Dodatnih 1.947 imalo je izložen djelomičan skup informacija: imena, gradove i adrese e-pošte.

Hardverski novčanik je fizički uređaj osmišljen za čuvanje privatnih vjerodajnica koje se koriste za kontrolu kriptovalute izvan mreže. Te vjerodajnice, često nazvane privatnim ključevima, nisu bile izložene u ovom incidentu. “Svi pogođeni kupci kontaktirani su zasebno putem e-pošte. Naši sustavi i uređaji ostaju sigurni, no pogođeni kupci mogli bi doživjeti porast phishing pokušaja,” objasnio je Trezor na X-u.

Neposredni rizik je lažno predstavljanje

Neposrednija briga je phishing, taktika prijevare u kojoj se kriminalci predstavljaju kao pouzdane tvrtke, banke ili druge usluge kako bi ljude naveli da predaju osjetljive informacije.

“Prevaranti mogu koristiti procurjele informacije za slanje lažnih e-poruka, upućivanje lažnih telefonskih poziva, slanje lažnih pisama ili se potencijalno predstavljati kao banke, kripto burze ili čak Trezor,” rekla je tvrtka u obavijesti kupcima.

Taj je rizik posebno ozbiljan za vlasnike hardverskih novčanika jer lopovi mogu pokušati doći do sigurnosne kopije novčanika, poznate i kao fraza za oporavak. Fraza za oporavak može obnoviti pristup kripto novčaniku, što znači da bi svatko tko je pribavi mogao moći uzeti sredstva u njemu.

Trezor je pozvao kupce da nikada ne unose sigurnosnu kopiju novčanika na web-stranici niti je dijele s bilo kime. Također je savjetovao da se poruke koje traže hitnu akciju ili osobne informacije tretiraju sa sumnjom te da se komunikacije provjeravaju putem službenih Trezor kanala.

Podatke je držao partner za dostavu

Shipmonk je logistički pružatelj usluga koji skladišti proizvode i šalje narudžbe kupcima. Trezor je rekao da takav partner treba osnovne informacije za dostavu, uključujući ime primatelja, adresu, broj telefona i adresu e-pošte.

Trezor je naglasio da njegovi vlastiti sustavi, proizvodi i usluge nisu kompromitirani. “Trezor uređaji ostaju u potpunosti sigurni i zaštićeni,” rekla je tvrtka, dodajući da se uobičajene operacije nastavljaju.

Tvrtka je rekla da je njezina politika zadržavanja podataka od 90 dana ograničila proboj. Trezor zahtijeva od partnera za ispunjenje narudžbi da izbrišu ili anonimiziraju podatke o narudžbama kupaca 90 dana nakon dostave, nakon što prođe razdoblje potrebno za dostavu, povrate, povrate novca i zamjene.

“Jedini stvarni učinak je da pogođeni kupci mogu vidjeti više phishing pokušaja putem e-pošte, telefona ili pošte,” otkrio je Trezor. Rekao je da su pogođeni kupci kontaktirani izravno s help@trezor.io te da oni koji nisu primili tu obavijest nisu pogođeni.

Industrija hardverskih novčanika već je ovo vidjela

Incident nije prvo kršenje podataka o kupcima povezano s proizvođačem hardverskih novčanika. Ledger, drugi veliki proizvođač, pretrpio je proboj koji je uključivao njegovu bazu podataka e-trgovine i marketinga 2020..

Taj je incident izložio otprilike 1 milijun adresa e-pošte i, kasnije, oko 272.000 detaljnijih zapisa o kupcima, uključujući imena, poštanske adrese, telefonske brojeve i naručene proizvode.

Epizoda s Ledgerom pokazala je zašto osobne informacije povezane s posjedovanjem kripta mogu biti vrijedne kriminalcima čak i kada sama tehnologija novčanika ostaje sigurna. To može pomoći prevarantima da sastave uvjerljive poruke usmjerene na poznatog kupca. Trezor je u četvrtak objasnio da radi na privatnijoj metodi dostave.

Tvrtka je navela:

“Trenutno radimo na opciji Anonimna dostava, koju namjeravamo imati spremnu do rujna za EU, a do kraja godine za SAD. To vam daje sigurniji način naručivanja hardverskih novčanika bez povezivanja kupnje s vašom kućnom adresom ili stvarnim identitetom.”

Trezor je dodatno otkrio da je Shipmonk osigurao i ojačao pogođene sustave dok istraga traje. Kupci bi trebali pratiti daljnja ažuriranja, a Trezor planira uvesti Anonimnu dostavu u Europskoj uniji do rujna, a u Sjedinjenim Američkim Državama do kraja 2026.