ข้อมูลรั่วไหลของ Trezor บานปลาย เมื่อผู้ซื้อในสหรัฐฯ อีก 67,000 รายถูกเปิดเผยข้อมูล

บันทึกข้อมูลที่เพิ่งถูกระบุเพิ่มเติม ครอบคลุมคำสั่งซื้อในสหรัฐฯ ที่ทำระหว่างเดือนพฤศจิกายน 2019 ถึงสิงหาคม 2021 และขยายเหตุการณ์ที่ก่อนหน้านี้ส่งผลกระทบต่อกลุ่มลูกค้าที่ใหม่กว่าจำนวน 13,689 รายในหลายประเทศ โดยรวมแล้ว การรั่วไหลในครั้งนี้เกี่ยวข้องกับผู้คนราว 80,000 ราย แม้ว่าระบบ อุปกรณ์ คีย์ส่วนตัว และไฟล์สำรองวอลเล็ตของ Trezor จะไม่ได้ถูกเจาะระบบก็ตาม

Trezor พบลูกค้าในสหรัฐฯ เพิ่มอีก 67,000 รายในเหตุข้อมูลรั่วไหล

ต่อจากการเปิดเผยครั้งล่าสุด Trezor ระบุว่าเมื่อวันที่ 2 ก.ย. บริษัทได้รับทราบว่าเหตุข้อมูลรั่วไหลของ Shipmonk มีขนาดใหญ่กว่าที่รายงานในตอนแรก บันทึกข้อมูลเก่าประกอบด้วยชื่อ อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อของลูกค้า ซึ่งทำให้ผู้โจมตีมีข้อมูลที่สามารถทำให้การหลอกลวงดูน่าเชื่อถือมากยิ่งขึ้น

การค้นพบนี้น่ากังวลเป็นพิเศษ เพราะ Trezor ระบุว่าได้ขอให้ Shipmonk ลบข้อมูลดังกล่าวซ้ำแล้วซ้ำเล่า และได้รับการยืนยันเป็นลายลักษณ์อักษรว่ามีการลบออกแล้ว Trezor ระบุว่าคำยืนยันเหล่านี้สอดคล้องกับสัญญา นโยบายข้อมูล และการสื่อสารก่อนหน้านี้กับผู้ให้บริการด้านการจัดส่ง

สิ่งนี้ยังทำให้เกิดคำถามเกี่ยวกับนโยบายการเก็บรักษาข้อมูล 90 วันที่ Trezor โฆษณาไว้กับพาร์ตเนอร์ด้านการจัดส่ง บันทึกข้อมูลที่เพิ่งถูกค้นพบมีอายุย้อนกลับไปหลายปี แสดงให้เห็นว่านโยบายดังกล่าวไม่ได้ถูกบังคับใช้อย่างแท้จริงสำหรับลูกค้าในสหรัฐฯ ที่ได้รับผลกระทบช่วงปี 2019-2021

ที่อยู่ที่รั่วไหลทำให้ภัยคุกคามไปไกลกว่าอีเมลฟิชชิง

ข้อมูลที่ถูกเปิดเผยไม่ได้ทำให้ผู้โจมตีสามารถเข้าถึงวอลเล็ต Trezor จากระยะไกลได้ คีย์ส่วนตัวและซีดเฟรส (seed phrase) หรือคำกู้คืนลับที่ใช้ควบคุมวอลเล็ตคริปโต ไม่ได้เป็นส่วนหนึ่งของเหตุข้อมูลรั่วไหล

แต่ประเภทของข้อมูลที่ ถูกเปิดเผยกลับก่อให้เกิดปัญหาอีกแบบ Trezor เตือนว่าหมายเลขโทรศัพท์และที่อยู่บ้านที่รั่วไหลอาจทำให้ลูกค้าที่ได้รับผลกระทบเสี่ยงต่ออันตรายทางกายภาพ ขณะเดียวกันหมายเลขคำสั่งซื้อจริงและรายละเอียดการติดต่อสามารถช่วยให้มิจฉาชีพแอบอ้างเป็นบริษัทได้แนบเนียนยิ่งขึ้น

เหตุข้อมูลรั่วไหลเกิดขึ้นนอกเหนือจาก Trezor ผู้โจมตีใช้ประโยชน์จากช่องโหว่ SQL-injection ที่ไม่เคยถูกค้นพบมาก่อนใน Metabase ซึ่งเป็นแพลตฟอร์มวิเคราะห์ข้อมูลที่ Shipmonk ใช้งาน Metabase แจ้ง Shipmonk ราววันที่ 6 ส.ค. ได้แพตช์ช่องโหว่และยกเลิกเซสชันต่างๆ ขณะที่ Shipmonk ชี้แจงภายหลังว่าได้ทำให้ระบบของตนปลอดภัยแล้ว

ความล้มเหลวด้านข้อมูลของบุคคลที่สามทำให้ผู้ซื้อฮาร์ดแวร์วอลเล็ตเสี่ยง

เหตุการณ์นี้เกิดขึ้นต่อเนื่องจาก การเปิดเผยข้อมูลโดยบุคคลที่สามครั้งอื่นๆ ที่เกี่ยวข้องกับลูกค้า Trezor โดยมีลูกค้าประมาณ 106,856 รายได้รับผลกระทบในเหตุการณ์ปี 2022 ขณะที่พอร์ทัลซัพพอร์ตที่ถูกเจาะในปี 2024 เปิดเผยชื่อและที่อยู่อีเมลมากถึง 66,000 ราย ในแต่ละครั้ง ฮาร์ดแวร์วอลเล็ตเองไม่ได้ถูกเจาะจากระยะไกล

ความแตกต่างนี้สำคัญสำหรับลูกค้าที่กำลังตัดสินใจว่าจะตอบสนองอย่างไร Trezor เตือนว่าไม่มีใครจากบริษัทจะขอไฟล์สำรองวอลเล็ต ดังนั้นลูกค้าไม่ควรกรอกซีดเฟรสลงบนเว็บไซต์หรือมอบให้กับผู้ใดที่อ้างว่าให้การสนับสนุน

Trezor ผลักดันการจัดส่งแบบไม่ระบุตัวตน ขณะที่อนาคตของ Shipmonk ยังไม่แน่นอน

ขณะนี้ Trezor กำลังโปรโมตระบบ Anonymous Delivery ที่ออกแบบมาเพื่อลดปริมาณข้อมูลลูกค้าที่ถูกเก็บไว้ระหว่างการซื้อฮาร์ดแวร์วอลเล็ต ระบบประกอบด้วยการรับของผ่านล็อกเกอร์ แพ็กเกจที่เป็นกลาง ผู้ส่งแบบทั่วไป และการลบตัวระบุการจัดส่งโดยอัตโนมัติหลังส่งมอบ โดยตั้งเป้าเปิดตัวในยุโรปภายในเดือนกันยายน และวางแผนเปิดใช้งานในสหรัฐฯ ภายในสิ้นปี 2026

สำหรับตอนนี้ Trezor ยังไม่ได้ประกาศแผนที่จะยุติการใช้ Shipmonk ก่อนหน้านี้บริษัทระบุว่าจะตัดสินอนาคตของความเป็นพาร์ตเนอร์หลังจากได้ภาพรวมของเหตุการณ์อย่างครบถ้วน ทำให้การตัดสินใจดังกล่าวยังค้างคาอยู่ แม้ว่าจำนวนลูกค้าที่ทราบว่าได้รับผลกระทบจะใกล้แตะ 80,000 รายแล้วก็ตาม ประเด็นนี้เกิดขึ้นตามหลังเหตุการณ์ฮาร์ดแวร์วอลเล็ตที่น่ากลัวหลายกรณีในปี 2026 ซึ่ง เกี่ยวข้องกับ Safepal และ วอลเล็ต Coldcard