Trezor’un nakliye hizmeti sağlayıcısı, 13.689 kripto para müşterisini dolandırıcılık riskine maruz bıraktı

Trezor, şirketin güvenlik güncellemesine göre, etkilenen müşterilerin 8 Ağustos'tan önceki 90 gün içinde ABD, Birleşik Krallık, İsveç, Kolombiya, Brezilya, İtalya veya Portekiz'de sipariş aldıklarını belirtti. Donanım cüzdan üreticisi, Shipmonk'un 10 Ağustos'ta müşteri verilerini barındıran sistemlere yetkisiz erişim olduğunu kendisine bildirdiğini söyledi.

Trezor, 11.742 müşterinin tam adlarının, e-posta adreslerinin, telefon numaralarının ve teslimat adreslerinin ifşa olduğunu belirtti. 1.947 müşterinin ise adları, şehirleri ve e-posta adresleri gibi kısmi bilgileri ifşa oldu.

Donanım cüzdanı, kripto para birimini kontrol etmek için kullanılan özel kimlik bilgilerini çevrimdışı tutmak üzere tasarlanmış fiziksel bir cihazdır. Genellikle özel anahtarlar olarak adlandırılan bu kimlik bilgileri, bu olayda ifşa edilmedi. Trezor, X platformunda yaptığı açıklamada, "Etkilenen tüm müşterilerle e-posta yoluyla ayrı ayrı iletişime geçildi. Sistemlerimiz ve cihazlarımız güvenli olmaya devam ediyor, ancak etkilenen müşterilerimiz daha fazla kimlik avı girişimine maruz kalabilir" dedi.

Acil Risk Kimlik Sahteciliğidir

Daha acil bir endişe kaynağı ise, dolandırıcıların güvenilir şirketler, bankalar veya diğer hizmetler gibi davranarak insanları kandırıp hassas bilgilerini ele geçirmeyi amaçlayan bir dolandırıcılık taktiği olan kimlik hırsızlığıdır.

Şirket, müşterilerine gönderdiği bildirimde, “Dolandırıcılar sızan bilgileri kullanarak sahte e-postalar gönderebilir, sahte telefon aramaları yapabilir, sahte mektuplar gönderebilir veya potansiyel olarak bankalar, kripto borsaları ve hatta Trezor’un kimliğine bürünebilir” dedi.

Bu risk, donanım cüzdan sahipleri için özellikle ciddidir; çünkü hırsızlar, kurtarma ifadesi olarak da bilinen cüzdan yedeklemesini ele geçirmeye çalışabilir. Kurtarma ifadesi, bir kripto cüzdanına erişimi geri yükleyebilir; bu da, bu ifadeyi ele geçiren herhangi bir kişinin cüzdandaki fonları alabileceği anlamına gelir.

Trezor, müşterilerine hiçbir şekilde bir web sitesine cüzdan yedekleme bilgilerini girmemelerini veya bu bilgileri kimseyle paylaşmamalarını tavsiye etti. Ayrıca, acil eylem veya kişisel bilgi talep eden mesajlara şüpheyle yaklaşılmasını ve iletişimin resmi Trezor kanalları üzerinden doğrulanmasını tavsiye etti.

Verileri Bir Nakliye Ortağı Saklıyordu

Shipmonk, ürünleri depolayan ve siparişleri alıcılara gönderen bir lojistik sağlayıcısıdır. Trezor, bu tür bir ortağın alıcının adı, adresi, telefon numarası ve e-posta adresi gibi temel teslimat bilgilerine ihtiyaç duyduğunu belirtti.

Trezor, kendi sistemlerinin, ürünlerinin ve hizmetlerinin tehlikeye atılmadığını vurguladı. Şirket, “Trezor cihazları tamamen güvenli ve emniyettedir” diyerek normal faaliyetlerin devam ettiğini ekledi.

Şirket, 90 günlük veri saklama politikasının ihlalin boyutunu sınırladığını belirtti. Trezor, teslimat, iade, geri ödeme ve değiştirme işlemleri için gerekli sürenin dolmasının ardından, 90 gün içinde sipariş verilerini silmelerini veya anonim hale getirmelerini teslimat ortaklarından talep etmektedir.

Trezor, “Bunun tek gerçek etkisi, etkilenen müşterilerin e-posta, telefon veya posta yoluyla daha fazla kimlik avı girişimi ile karşılaşabileceğidir” açıklamasında bulundu. Etkilenen müşterilerle help@trezor.io adresinden doğrudan iletişime geçildiğini ve bu bildirimi almayan kişilerin etkilenmediğini belirtti.

Donanım Cüzdan Sektörü Bunu Daha Önce de Yaşamıştı

Bu olay, bir donanım cüzdan üreticisiyle bağlantılı ilk müşteri verisi sızıntısı değil. Bir başka büyük üretici olan Ledger, 2020 yılında e-ticaret ve pazarlama veritabanını etkileyen bir sızıntıya maruz kalmıştı.

Söz konusu olayda yaklaşık 1 milyon e-posta adresi ve daha sonra isimler, posta adresleri, telefon numaraları ve sipariş edilen ürünler dahil olmak üzere yaklaşık 272.000 adet daha ayrıntılı müşteri kaydı açığa çıkmıştı.

Ledger olayı, cüzdan teknolojisinin kendisi güvenli kalsa bile kripto varlıklarına bağlı kişisel bilgilerin suçlular için neden değerli olabileceğini gösterdi. Bu bilgiler, dolandırıcıların bilinen bir müşteriye yönelik inandırıcı mesajlar oluşturmasına yardımcı olabilir. Trezor Perşembe günü, daha gizli bir gönderim yöntemi üzerinde çalıştığını açıkladı.

Şirket şu açıklamayı yaptı:

"Şu anda Anonim Teslimat seçeneği üzerinde çalışıyoruz; bu seçeneği AB için Eylül ayına kadar, ABD için ise yıl sonuna kadar kullanıma sunmayı hedefliyoruz. Bu, satın alma işlemini ev adresinizle veya gerçek kimliğinizle ilişkilendirmeden donanım cüzdanları sipariş etmenize olanak tanıyan daha güvenli bir yol sunuyor."

Trezor ayrıca, soruşturma devam ederken Shipmonk’un etkilenen sistemleri güvence altına aldığını ve güçlendirdiğini açıkladı. Müşteriler yeni güncellemeleri takip etmelidir; Trezor, Anonim Teslimat hizmetini Eylül ayına kadar Avrupa Birliği’nde, 2026 yılı sonuna kadar da ABD’de kullanıma sunmayı planlamaktadır.