ผู้ให้บริการจัดส่งของ Trezor ทำให้ลูกค้าคริปโต 13,689 รายเสี่ยงต่อการถูกหลอกลวง

ตามการอัปเดตด้านความปลอดภัยของบริษัท Trezor เขียนว่าลูกค้าที่ได้รับผลกระทบเป็นผู้ที่ได้รับคำสั่งซื้อในสหรัฐอเมริกา สหราชอาณาจักร สวีเดน โคลอมเบีย บราซิล อิตาลี หรือโปรตุเกส ในช่วง 90 วันก่อนวันที่ 8 ส.ค. ผู้ผลิตฮาร์ดแวร์วอลเล็ตระบุว่า Shipmonk แจ้งให้ทราบเมื่อวันที่ 10 ส.ค. ว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตต่อระบบที่เก็บข้อมูลลูกค้า

Trezor ระบุว่าลูกค้า 11,742 รายมีชื่อ-นามสกุล อีเมล หมายเลขโทรศัพท์ และที่อยู่จัดส่งถูกเปิดเผย อีก 1,947 รายมีข้อมูลบางส่วนถูกเปิดเผย ได้แก่ ชื่อ เมือง และอีเมล

ฮาร์ดแวร์วอลเล็ตคืออุปกรณ์ทางกายภาพที่ออกแบบมาเพื่อเก็บข้อมูลลับที่ใช้ควบคุมคริปโทเคอร์เรนซีแบบออฟไลน์ ข้อมูลลับเหล่านั้นมักเรียกว่า “คีย์ส่วนตัว” (private keys) ซึ่งไม่ได้ถูกเปิดเผยในเหตุการณ์นี้ “ได้ติดต่อแจ้งลูกค้าที่ได้รับผลกระทบทุกรายแยกต่างหากทางอีเมลแล้ว ระบบและอุปกรณ์ของเรายังคงปลอดภัย แต่ลูกค้าที่ได้รับผลกระทบอาจเผชิญความพยายามฟิชชิงเพิ่มขึ้น” Trezor อธิบายบน X.

ความเสี่ยงเร่งด่วนคือการปลอมตัวสวมรอย

ความกังวลที่เกิดขึ้นทันทีมากกว่าคือฟิชชิง ซึ่งเป็นกลโกงที่อาชญากรปลอมตัวเป็นบริษัทที่น่าเชื่อถือ ธนาคาร หรือบริการอื่น ๆ เพื่อหลอกให้ผู้คนเปิดเผยข้อมูลอ่อนไหว

“มิจฉาชีพสามารถใช้ข้อมูลที่รั่วไหลเพื่อส่งอีเมลปลอม โทรศัพท์ปลอม ส่งจดหมายหลอกลวง หรืออาจสวมรอยเป็นธนาคาร กระดานเทรดคริปโต หรือแม้แต่ Trezor” บริษัทระบุในประกาศถึงลูกค้า

ความเสี่ยงดังกล่าวร้ายแรงเป็นพิเศษสำหรับผู้ถือครองฮาร์ดแวร์วอลเล็ต เพราะโจรอาจพยายามได้มาซึ่งข้อมูลสำรองวอลเล็ต หรือที่เรียกว่า “วลีการกู้คืน” (recovery phrase) วลีการกู้คืนสามารถใช้กู้การเข้าถึงวอลเล็ตคริปโตได้ หมายความว่าใครก็ตามที่ได้มาซึ่งวลีนั้นอาจสามารถนำเงินภายในออกไปได้

Trezor ย้ำให้ลูกค้าอย่ากรอกข้อมูลสำรองวอลเล็ตบนเว็บไซต์หรือแชร์ให้ใครก็ตาม อีกทั้งแนะนำให้ระแวดระวังข้อความที่เร่งให้ดำเนินการทันทีหรือขอข้อมูลส่วนบุคคล และตรวจสอบการสื่อสารผ่านช่องทางทางการของ Trezor

พันธมิตรด้านการจัดส่งเป็นผู้ถือข้อมูล

Shipmonk เป็นผู้ให้บริการโลจิสติกส์ที่จัดเก็บสินค้าและจัดส่งคำสั่งซื้อไปยังผู้ซื้อ Trezor ระบุว่าพันธมิตรลักษณะนี้จำเป็นต้องใช้ข้อมูลพื้นฐานสำหรับการจัดส่ง รวมถึงชื่อผู้รับ ที่อยู่ หมายเลขโทรศัพท์ และอีเมล

Trezor เน้นย้ำว่าระบบ ผลิตภัณฑ์ และบริการของบริษัทเองไม่ได้ถูกเจาะ “อุปกรณ์ Trezor ยังคงปลอดภัยและมั่นคงอย่างสมบูรณ์” บริษัทกล่าว พร้อมระบุว่าการดำเนินงานตามปกติยังคงดำเนินต่อไป

บริษัทระบุว่านโยบายเก็บรักษาข้อมูล 90 วันช่วยจำกัดผลกระทบของเหตุละเมิด Trezor กำหนดให้พาร์ตเนอร์ด้านการจัดส่งต้องลบหรือทำให้ข้อมูลคำสั่งซื้อของลูกค้าไม่สามารถระบุตัวตนได้ภายใน 90 วันหลังการจัดส่ง เมื่อพ้นช่วงเวลาที่จำเป็นสำหรับการจัดส่ง การคืนสินค้า การคืนเงิน และการเปลี่ยนสินค้า

“ผลกระทบที่แท้จริงเพียงอย่างเดียวคือ ลูกค้าที่ได้รับผลกระทบอาจเห็นความพยายามฟิชชิงเพิ่มขึ้นผ่านอีเมล โทรศัพท์ หรือไปรษณีย์” Trezor เปิดเผย โดยระบุว่าลูกค้าที่ได้รับผลกระทบถูกติดต่อโดยตรงจาก help@trezor.io และผู้ที่ไม่ได้รับการแจ้งดังกล่าวไม่ได้รับผลกระทบ

อุตสาหกรรมฮาร์ดแวร์วอลเล็ตเคยเจอเหตุการณ์แบบนี้มาก่อน

เหตุการณ์นี้ไม่ใช่การละเมิดข้อมูลลูกค้าครั้งแรกที่เชื่อมโยงกับผู้ผลิตฮาร์ดแวร์วอลเล็ต Ledger ผู้ผลิตรายใหญ่อีกราย เคยประสบเหตุละเมิดที่เกี่ยวข้องกับ ฐานข้อมูลอีคอมเมิร์ซและการตลาดในปี 2020 ของตน

เหตุการณ์นั้นทำให้มีอีเมลราว 1 ล้านรายการถูกเปิดเผย และต่อมามีบันทึกลูกค้าที่ละเอียดขึ้นอีกราว 272,000 รายการถูกเปิดเผย รวมถึงชื่อ ที่อยู่ไปรษณีย์ หมายเลขโทรศัพท์ และสินค้าที่สั่งซื้อ

กรณีของ Ledger แสดงให้เห็นว่าเหตุใดข้อมูลส่วนบุคคลที่เชื่อมโยงกับการถือครองคริปโตจึงมีมูลค่าสำหรับอาชญากร แม้เทคโนโลยีวอลเล็ตเองจะยังปลอดภัย เพราะข้อมูลดังกล่าวช่วยให้มิจฉาชีพสร้างข้อความที่น่าเชื่อถือเพื่อเจาะเป้าหมายไปยังลูกค้าที่ระบุตัวได้ Trezor อธิบายในวันพฤหัสบดีว่ากำลังทำงานเกี่ยวกับวิธีจัดส่งที่เป็นส่วนตัวมากขึ้น

บริษัทระบุว่า:

“We are currently working on an Anonymous Delivery option, which we aim to have ready by September for the EU and by the end of the year for the US. This gives you a safer way to order hardware wallets without linking the purchase to your home address or real-world identity.”

Trezor ยังเปิดเผยเพิ่มเติมว่า Shipmonk ได้ทำให้ระบบที่ได้รับผลกระทบมีความปลอดภัยและแข็งแกร่งขึ้นแล้ว ขณะที่การสอบสวนยังดำเนินต่อไป ลูกค้าควรติดตามอัปเดตเพิ่มเติม และ Trezor วางแผนจะเปิดตัว Anonymous Delivery ในสหภาพยุโรปภายในเดือนกันยายน และในสหรัฐอเมริกาภายในสิ้นปี 2026