كشفت Trezor عن تعرض معلومات شخصية تخص 13,689 عميلاً بعد وصول جهة غير مصرح بها إلى أنظمة تشغلها شركة الشحن ShipMonk، المزود الخاص بها.
قالت Trezor في إشعار أمني بتاريخ 13 أغسطس إن ShipMonk أبلغت الشركة المصنعة لمحفظة الأجهزة في 10 أغسطس عن وصول غير مصرح به إلى الأنظمة التي تحتوي على بيانات طلبات العملاء، وأن التحقيق في الحادث لا يزال مستمرًا.
أثر الاختراق على العملاء الذين تلقوا طلبات Trezor بين 10 مايو و 8 أغسطس في الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال. وقالت Trezor إن أنظمتها الخاصة لم تتعرض للاختراق وأن محافظ أجهزتها لا تزال آمنة.
من بين العملاء المتأثرين، تم الكشف عن أسماء 11,742 عميلاً وعناوين بريدهم الإلكتروني وأرقام هواتفهم وعناوين شحنهم. بينما تعرضت معلومات جزئية لـ 1,947 عميلاً، تتكون من أسمائهم ومدنهم وعناوين بريدهم الإلكتروني.
كانت أرقام الطلبات أيضًا من بين المعلومات التي احتفظت بها ShipMonk للشحنات، وفقًا لتوضيح Trezor للحادثة.
تعمل ShipMonk كمزود لوجستي يخزن منتجات Trezor ويتولى عمليات التسليم في الولايات المتحدة والمملكة المتحدة وعدة أسواق أخرى. تتطلب شركة تلبية الطلبات أسماء العملاء وعناوينهم وأرقام هواتفهم وعناوين بريدهم الإلكتروني لمعالجة الشحنات.
وفقًا لـ Trezor، كان عدد العملاء المكشوفين محدودًا بسبب سياستها للاحتفاظ بالبيانات لمدة 90 يومًا، والتي تطلب من شركاء تلبية الطلبات الالتزام بها أيضًا. وقد تم بالفعل حذف أو إخفاء هوية معلومات العملاء المرتبطة بالطلبات القديمة، وبالتالي لم تكن مخزنة في أنظمة ShipMonk المتأثرة.
قالت Trezor إن فترة الـ 90 يومًا صُممت لتغطية عملية الطلب الكاملة، بما في ذلك التسليم والمرتجعات والمبالغ المستردة واستبدال المنتجات. وبمجرد انتهاء الفترة، يتم حذف معلومات العملاء المتعلقة بالمشتريات أو إخفاء هويتها لأن الشركة لم تعد بحاجة إلى العنوان أو رقم الهاتف لأغراض التلبية.
تم إخطار العملاء المتأثرين بشكل منفصل عبر رسائل البريد الإلكتروني المرسلة من [email protected]. وقالت الشركة إن العملاء الذين لم يتلقوا إشعار الأمان لم يتأثروا بالحادثة.
قامت ShipMonk منذ ذلك الحين بتأمين الأنظمة المتأثرة وعززت أمانها بعد الاختراق، حسبما ذكرت Trezor. وتظل الشركتان على اتصال بينما تعملان على تحديد كيفية حدوث الوصول غير المصرح به وتحديد المعلومات الدقيقة التي تم الوصول إليها.
تمثل هذه الحادثة المرة الأولى منذ تأسيس Trezor في عام 2013 التي يتم فيها كشف أرقام هواتف العملاء وعناوين الشحن نتيجة لاختراق يخص الشركة أو أحد مزوديها.
قالت Trezor: "نحن ندرك تمامًا مدى خطورة هذا الأمر والمخاطر المحتملة التي يشكلها على عملائنا، ونعتذر بشدة للمتأثرين."
على الرغم من أن أجهزة المحفظة والبنية التحتية لـ Trezor لم تتأثر، حذرت الشركة من إمكانية استخدام المعلومات الشخصية المكشوفة لإنشاء محاولات تصيد احتيالي أكثر إقناعًا.
يمكن للمهاجمين استخدام اسم العميل أو رقم هاتفه أو بريده الإلكتروني أو عنوان منزله لانتحال شخصية Trezor أو بورصة عملات مشفرة أو بنك. وقالت الشركة إن الأساليب الاحتيالية يمكن أن تصل عبر رسائل البريد الإلكتروني أو المكالمات الهاتفية أو الرسائل المادية.
استهدفت مثل هذه الهجمات في السابق مالكي محافظ الأجهزة باستخدام معلومات شخصية واتصالات تبدو رسمية. في فبراير، أفادت crypto.news عن رسائل مزيفة أُرسلت إلى عملاء Trezor و Ledger وجهت المتلقين إلى مواقع تصيد احتيالي عبر رموز QR.
أخبرت الرسائل المتلقين أنهم بحاجة إلى إكمال عملية مصادقة أو فحص معاملة وحاولت خلق شعور بالإلحاح عن طريق التحذير من مشاكل محتملة في وظائف المحفظة. طلبت صفحات التصيد الاحتيالي المرتبطة بها عبارات استعادة من 12 أو 20 أو 24 كلمة، مما يمنح المهاجمين السيطرة على المحفظة بمجرد إرسالها.
تمثل الرسائل المادية مصدر قلق خاص عندما يمتلك المهاجمون بالفعل تفاصيل بريد الضحية. حملة تصيد احتيالي لـ Ledger في أبريل 2025 تضمنت رسائل احتيالية تحمل علامة Ledger التجارية وعنوان عمل وأرقام مرجعية فردية.
تلقى المستلمون في تلك الحملة تعليمات بمسح رمز QR وتقديم عبارة الاستعادة المكونة من 24 كلمة تحت ادعاء أن تحديثًا أمنيًا حرجًا مطلوبًا.
طلبت Trezor من العملاء المتأثرين باختراق ShipMonk التعامل مع الاتصالات التي تطلب إجراءً فوريًا أو معلومات شخصية بشك. كما نصحت المستخدمين بالتحقق من الرسائل مقابل اتصالاتها الرسمية وعدم تقديم نسخة احتياطية للمحفظة أبدًا عبر موقع ويب أو لشخص آخر.
تعاملت Trezor مع حالات تعرض معلومات العملاء عبر خدمات طرف ثالث من قبل، على الرغم من أن الشركة قالت إن حادثة ShipMonk كانت الأولى التي تتضمن تسريب أرقام الهواتف وعناوين الشحن.
في يناير 2024، وصلت جهة غير مصرح بها إلى بوابة تذاكر دعم تابعة لجهة خارجية تستخدمها Trezor، مما قد يكشف معلومات الاتصال لحوالي 66,000 عميل تفاعلوا مع فريق الدعم منذ أواخر عام 2021.
أبلغت الشركة جهات الاتصال المتأثرة في ذلك الوقت وقالت إن الأصول الرقمية لم تتعرض للاختراق. تضمنت الحادثة نظام الدعم الخارجي بدلاً من محافظ Trezor للأجهزة.
ظهرت طريقة تصيد احتيالي أخرى في يونيو 2025 عندما استغل المهاجمون نموذج الاتصال الخاص بـ Trezor عن طريق إرسال طلبات دعم باستخدام عناوين البريد الإلكتروني للمستخدمين المستهدفين. أدت هذه العملية إلى ردود آلية مشروعة من نظام Trezor، مما جعل اتصالات التصيد الاحتيالي الناتجة تبدو أكثر مصداقية.
قالت Trezor في ذلك الوقت إن بنيتها التحتية للبريد الإلكتروني لم يتم اختراقها وأن نموذج الاتصال لا يزال آمنًا. استغل المهاجمون بدلاً من ذلك سير عمل الدعم لجعل الرسائل الاحتيالية تبدو مرتبطة بالمراسلات المشروعة.
ظل أمن الأجهزة يخضع للتدقيق بشكل منفصل. في يونيو، كشفت Trezor و Tropic Square عن عيب في الشريحة يؤثر على العنصر الآمن TROPIC01 المستخدم في Trezor Safe 7 بعد أن وجد باحثون من Ledger Donjon نقطة الضعف أثناء تدقيق مستقل.
استخدمت Ledger Donjon حقن الأخطاء بالليزر في ظروف معملية لاستخراج بعض أسرار الشريحة وتجاوز فحوصات توقيع البرامج الثابتة. قالت Trezor إن الهجوم يتطلب وصولاً ماديًا ومعدات متخصصة، بينما استمرت طبقتان أمنيتان مستقلتان أخريان في حماية الوصول إلى المحفظة. لم يطلب من المستخدمين اتخاذ أي إجراء.
حادثة ShipMonk، بالمقارنة، تضمنت معلومات الطلب المحتفظ بها من قبل مزود تلبية الطلبات بدلاً من الأجهزة أو البرامج المسؤولة عن تأمين المفاتيح الخاصة.
بعد الكشف الأخير، أوضحت Trezor أيضًا الطرق التي يمكن للعملاء من خلالها تقليل كمية المعلومات الشخصية المرتبطة بمشتريات محافظ الأجهزة المستقبلية.
أوصت الشركة باستخدام عنوان بريد إلكتروني غير مرتبط بالهوية الأساسية للعميل واقترحت مدفوعات العملات المشفرة كبديل لبطاقات الائتمان. حيثما توفر ذلك، يمكن للعملاء أيضًا استخدام صندوق بريد (P.O. Box) لتقليل الكشف عن عنوان منزلهم، على الرغم من أن متطلبات الهوية وسجلات الخدمة البريدية قد تظل سارية.
تعد Trezor أيضًا لخدمة التسليم المجهول (Anonymous Delivery) المصممة لتقليل معلومات العميل المحتفظ بها أثناء شحن محافظ الأجهزة.
بموجب النظام المخطط له، ستستخدم الطلبات عملية دفع مخصصة، واستلامًا من خزانة طرود، وتعبئة محايدة، ومعلومات مرسل عامة. ثم سيتم حذف معرفات الشحن تلقائيًا بعد التسليم.
قالت Trezor إنها تخطط لإتاحة التسليم المجهول في الاتحاد الأوروبي بحلول سبتمبر 2026، يليه إطلاق في الولايات المتحدة بحلول نهاية عام 2026.
