Nhà cung cấp dịch vụ vận chuyển Trezor khiến 13.689 khách hàng tiền điện tử trở thành mục tiêu của các vụ lừa đảo

Theo bản cập nhật bảo mật của công ty, các khách hàng bị ảnh hưởng đã nhận được đơn hàng tại Hoa Kỳ, Vương quốc Anh, Thụy Điển, Colombia, Brazil, Ý hoặc Bồ Đào Nha trong vòng 90 ngày trước ngày 8 tháng 8, Trezor cho biết. Nhà sản xuất ví phần cứng này cho biết Shipmonk đã thông báo cho họ về việc truy cập trái phép vào các hệ thống lưu trữ dữ liệu khách hàng vào ngày 10 tháng 8.

Trezor cho biết thông tin đầy đủ của 11.742 khách hàng, bao gồm họ tên, địa chỉ email, số điện thoại và địa chỉ giao hàng, đã bị lộ. Ngoài ra, thông tin một phần của 1.947 khách hàng khác cũng bị lộ, bao gồm tên, thành phố và địa chỉ email.

Ví phần cứng là một thiết bị vật lý được thiết kế để lưu trữ ngoại tuyến các thông tin đăng nhập riêng tư dùng để kiểm soát tiền điện tử. Những thông tin đăng nhập này, thường được gọi là khóa riêng tư, không bị lộ trong sự cố này. "Tất cả khách hàng bị ảnh hưởng đã được liên hệ riêng qua email. Hệ thống và thiết bị của chúng tôi vẫn an toàn, nhưng khách hàng bị ảnh hưởng có thể gặp phải nhiều nỗ lực lừa đảo hơn", Trezor giải thích trên X.

Rủi ro trước mắt là hành vi mạo danh

Mối lo ngại cấp bách hơn là lừa đảo qua email, một thủ đoạn gian lận trong đó tội phạm giả mạo các công ty, ngân hàng hoặc dịch vụ đáng tin cậy để lừa người dùng cung cấp thông tin nhạy cảm.

“Những kẻ lừa đảo có thể sử dụng thông tin bị rò rỉ để gửi email giả mạo, thực hiện các cuộc gọi điện thoại giả mạo, gửi thư lừa đảo hoặc có khả năng mạo danh các ngân hàng, sàn giao dịch tiền điện tử hoặc thậm chí là Trezor,” công ty cho biết trong thông báo gửi khách hàng.

Rủi ro này đặc biệt nghiêm trọng đối với chủ sở hữu ví phần cứng vì kẻ trộm có thể cố gắng chiếm đoạt bản sao lưu ví, còn được gọi là cụm từ khôi phục. Cụm từ khôi phục có thể khôi phục quyền truy cập vào ví tiền điện tử, nghĩa là bất kỳ ai chiếm được nó đều có thể chiếm đoạt số tiền bên trong.

Trezor khuyến cáo khách hàng tuyệt đối không nhập bản sao lưu ví vào bất kỳ trang web nào hoặc chia sẻ nó với bất kỳ ai. Công ty cũng khuyên mọi người nên cảnh giác với các tin nhắn yêu cầu hành động khẩn cấp hoặc thông tin cá nhân và xác minh thông tin qua các kênh chính thức của Trezor.

Một đối tác vận chuyển lưu giữ dữ liệu

Shipmonk là một nhà cung cấp dịch vụ hậu cần chuyên lưu trữ sản phẩm và gửi đơn hàng đến người mua. Trezor cho biết đối tác như vậy cần có thông tin giao hàng cơ bản, bao gồm tên người nhận, địa chỉ, số điện thoại và địa chỉ email.

Trezor nhấn mạnh rằng các hệ thống, sản phẩm và dịch vụ của chính công ty không bị xâm phạm. “Các thiết bị Trezor vẫn hoàn toàn an toàn và bảo mật,” công ty cho biết, đồng thời khẳng định hoạt động bình thường vẫn tiếp tục.

Công ty cho biết chính sách lưu trữ 90 ngày của họ đã hạn chế mức độ ảnh hưởng của vụ vi phạm. Trezor yêu cầu các đối tác thực hiện đơn hàng phải xóa hoặc ẩn danh dữ liệu đơn hàng của khách hàng sau 90 ngày kể từ khi giao hàng, sau khi thời gian cần thiết cho việc giao hàng, trả hàng, hoàn tiền và đổi hàng đã kết thúc.

“Tác động thực sự duy nhất là các khách hàng bị ảnh hưởng có thể gặp nhiều nỗ lực lừa đảo hơn qua email, điện thoại hoặc thư,” Trezor tiết lộ. Công ty cho biết các khách hàng bị ảnh hưởng đã được liên hệ trực tiếp từ địa chỉ help@trezor.io và những người không nhận được thông báo đó thì không bị ảnh hưởng.

Ngành ví phần cứng đã từng gặp phải tình huống này trước đây

Sự cố này không phải là vụ rò rỉ dữ liệu khách hàng đầu tiên liên quan đến một nhà sản xuất ví phần cứng. Ledger, một nhà sản xuất lớn khác, đã phải đối mặt với vụ rò rỉ liên quan đến cơ sở dữ liệu thương mại điện tử và tiếp thị của họ vào năm 2020.

Vụ việc đó đã làm lộ khoảng 1 triệu địa chỉ email và sau đó là khoảng 272.000 hồ sơ khách hàng chi tiết hơn, bao gồm tên, địa chỉ bưu chính, số điện thoại và các sản phẩm đã đặt hàng.

Vụ việc của Ledger đã cho thấy tại sao thông tin cá nhân liên quan đến việc sở hữu tiền điện tử lại có giá trị đối với tội phạm, ngay cả khi công nghệ ví vẫn an toàn. Thông tin này có thể giúp kẻ lừa đảo tạo ra các tin nhắn đáng tin cậy nhắm vào khách hàng đã biết. Trezor đã giải thích vào thứ Năm rằng họ đang phát triển một phương thức vận chuyển bảo mật hơn.

Công ty tuyên bố:

"Hiện tại, chúng tôi đang phát triển tùy chọn Giao hàng Ẩn danh, dự kiến sẽ sẵn sàng vào tháng 9 cho thị trường EU và vào cuối năm nay cho thị trường Mỹ. Tính năng này mang đến cho bạn một cách an toàn hơn để đặt mua ví phần cứng mà không liên kết giao dịch với địa chỉ nhà hoặc danh tính thực của bạn."

Trezor cũng tiết lộ thêm rằng Shipmonk đã bảo mật và tăng cường các hệ thống bị ảnh hưởng trong khi cuộc điều tra vẫn đang tiếp diễn. Khách hàng nên theo dõi các thông tin cập nhật tiếp theo, và Trezor dự kiến sẽ triển khai dịch vụ Giao hàng Ẩn danh tại Liên minh Châu Âu vào tháng 9 và tại Hoa Kỳ vào cuối năm 2026.