ترزور (Trezor) اعلام کرده است که اطلاعات شخصی 13,689 مشتری آن پس از دسترسی غیرمجاز یک عامل خارجی به سیستم‌های تحت مدیریت شرکت ارائه‌دهنده خدمات پستی آن، ShipMonk، فاش شده است.
ترزور در اطلاعیه امنیتی 13 آگوست خود گفت که ShipMonk در 10 آگوست، سازنده کیف پول سخت‌افزاری را از دسترسی غیرمجاز به سیستم‌های حاوی داده‌های سفارش مشتری مطلع کرده است و تحقیقات در مورد این حادثه همچنان ادامه دارد.
این نشت اطلاعات، مشتریانی را تحت تأثیر قرار داد که بین 10 می و 8 آگوست سفارشات ترزور را در ایالات متحده، بریتانیا، سوئد، کلمبیا، برزیل، ایتالیا و پرتغال دریافت کرده بودند. ترزور اعلام کرد که سیستم‌های خودش به خطر نیفتاده‌اند و کیف پول‌های سخت‌افزاری آن ایمن باقی مانده‌اند.
از میان مشتریان آسیب‌دیده، اطلاعات 11,742 نفر شامل نام، آدرس ایمیل، شماره تلفن و آدرس پستی فاش شد. اطلاعات جزئی‌تر 1,947 مشتری دیگر شامل نام، شهر و آدرس ایمیل آنها به خطر افتاد.
به گفته ترزور، شماره سفارشات نیز از جمله اطلاعاتی بود که ShipMonk برای تحویل کالا نگهداری می‌کرد.
ShipMonk به عنوان ارائه‌دهنده خدمات لجستیک فعالیت می‌کند که محصولات ترزور را ذخیره کرده و تحویل کالا را در ایالات متحده، بریتانیا و چندین بازار دیگر انجام می‌دهد. این شرکت انجام سفارشات برای پردازش ارسال‌ها به نام مشتری، آدرس، شماره تلفن و آدرس ایمیل نیاز دارد.
به گفته ترزور، تعداد مشتریان فاش شده به دلیل سیاست 90 روزه حفظ داده‌ها محدود شده است، که این شرکت از شرکای انجام سفارش خود نیز می‌خواهد آن را رعایت کنند. اطلاعات مشتریان مربوط به سفارشات قدیمی‌تر قبلاً حذف یا ناشناس شده بود و بنابراین در سیستم‌های ShipMonk آسیب‌دیده ذخیره نشده بود.
ترزور اعلام کرد که دوره 90 روزه برای پوشش کامل فرآیند سفارش، از جمله تحویل، مرجوعی، بازپرداخت و جایگزینی محصول طراحی شده است. پس از پایان این دوره، اطلاعات مشتریان مرتبط با خرید حذف یا ناشناس می‌شود زیرا شرکت دیگر نیازی به آدرس یا شماره تلفن برای اهداف انجام سفارش ندارد.
مشتریان آسیب‌دیده به طور جداگانه از طریق ایمیل‌هایی که از [email protected] ارسال شده‌اند، مطلع شده‌اند. طبق گفته شرکت، مشتریانی که اطلاعیه امنیتی را دریافت نکرده‌اند، تحت تأثیر این حادثه قرار نگرفته‌اند.
ترزور گفت که ShipMonk از آن زمان سیستم‌های آسیب‌دیده را ایمن کرده و امنیت خود را پس از نشت اطلاعات تقویت کرده است. هر دو شرکت در تماس هستند تا نحوه دسترسی غیرمجاز و اطلاعات دقیق دسترسی یافته را مشخص کنند.
این حادثه از زمان تأسیس ترزور در سال 2013، اولین بار است که یک نشت اطلاعات مربوط به شرکت یا یکی از ارائه‌دهندگان آن، شماره تلفن و آدرس پستی مشتریان را فاش می‌کند.
ترزور گفت: "ما کاملاً درک می‌کنیم که این موضوع چقدر جدی است و چه خطراتی برای مشتریان ما دارد و از کسانی که تحت تأثیر قرار گرفته‌اند عمیقاً متأسفیم."
اگرچه دستگاه‌های کیف پول و زیرساخت ترزور تحت تأثیر قرار نگرفتند، اما این شرکت هشدار داد که اطلاعات شخصی فاش شده می‌تواند برای ایجاد تلاش‌های فیشینگ قانع‌کننده‌تر مورد استفاده قرار گیرد.
مهاجمان می‌توانند از نام، شماره تلفن، ایمیل یا آدرس منزل مشتری برای جعل هویت ترزور، یک صرافی ارز دیجیتال یا یک بانک استفاده کنند. این شرکت اعلام کرد که رویکردهای کلاهبردارانه می‌تواند از طریق ایمیل، تماس تلفنی یا نامه‌های فیزیکی انجام شود.
چنین حملاتی قبلاً دارندگان کیف پول سخت‌افزاری را با استفاده از اطلاعات شخصی و ارتباطات به ظاهر رسمی هدف قرار داده‌اند. در فوریه، crypto.news گزارش داد که نامه‌های جعلی به مشتریان ترزور و لجر (Ledger) ارسال شده است که دریافت‌کنندگان را از طریق کدهای QR به وب‌سایت‌های فیشینگ هدایت می‌کرد.
این نامه‌ها به دریافت‌کنندگان می‌گفتند که برای تکمیل یک احراز هویت یا بررسی تراکنش نیاز به اقدام دارند و سعی در ایجاد فوریت با هشدار در مورد مشکلات احتمالی عملکرد کیف پول داشتند. صفحات فیشینگ مرتبط، عبارات بازیابی 12، 20 یا 24 کلمه‌ای را درخواست می‌کردند که پس از ارسال، کنترل کیف پول را به مهاجمان می‌داد.
نامه‌های فیزیکی زمانی که مهاجمان از قبل جزئیات پستی قربانی را در اختیار دارند، نگرانی خاصی ایجاد می‌کنند. کمپین فیشینگ لجر در آوریل 2025 به همین ترتیب شامل نامه‌های جعلی با برند لجر، آدرس تجاری و شماره‌های مرجع فردی بود.
به دریافت‌کنندگان در آن کمپین دستور داده شد تا یک کد QR را اسکن کرده و عبارت بازیابی 24 کلمه‌ای خود را تحت این ادعا که یک به‌روزرسانی امنیتی حیاتی لازم است، ارائه دهند.
ترزور به مشتریان آسیب‌دیده از نشت اطلاعات ShipMonk گفته است که با ارتباطاتی که خواستار اقدام فوری یا اطلاعات شخصی هستند، با سوءظن برخورد کنند. همچنین به کاربران توصیه کرده است که پیام‌ها را با ارتباطات رسمی خود راستی‌آزمایی کنند و هرگز پشتیبان کیف پول را از طریق وب‌سایت یا به شخص دیگری ارائه ندهند.
ترزور قبلاً نیز با فاش شدن اطلاعات مشتریان از طریق خدمات شخص ثالث سروکار داشته است، اگرچه این شرکت اعلام کرد که حادثه ShipMonk اولین موردی است که شامل نشت شماره تلفن‌ها و آدرس‌های پستی می‌شود.
در ژانویه 2024، یک طرف غیرمجاز به یک پورتال تیکت پشتیبانی شخص ثالث که توسط ترزور استفاده می‌شد، دسترسی پیدا کرد و به طور بالقوه اطلاعات تماس حدود 66,000 مشتری را که از اواخر سال 2021 با تیم پشتیبانی در تعامل بودند، فاش کرد.
این شرکت در آن زمان به مخاطبان آسیب‌دیده اطلاع‌رسانی کرد و گفت که دارایی‌های دیجیتال به خطر نیفتاده‌اند. این حادثه مربوط به سیستم پشتیبانی خارجی بود نه کیف پول‌های سخت‌افزاری ترزور.
یک روش فیشینگ دیگر در ژوئن 2025 پدیدار شد، زمانی که مهاجمان با سوءاستفاده از فرم تماس ترزور، درخواست‌های پشتیبانی را با استفاده از آدرس‌های ایمیل کاربران هدف ارسال کردند. این فرآیند باعث فعال شدن پاسخ‌های خودکار مشروع از سیستم ترزور شد و باعث شد ارتباطات فیشینگ حاصل، معتبرتر به نظر برسد.
ترزور در آن زمان اعلام کرد که زیرساخت ایمیل آن به خطر نیفتاده و فرم تماس ایمن باقی مانده است. مهاجمان در عوض از روند کاری پشتیبانی سوءاستفاده کردند تا پیام‌های کلاهبردارانه را به گونه‌ای جلوه دهند که با مکاتبات مشروع مرتبط هستند.
امنیت سخت‌افزاری به طور جداگانه تحت بررسی قرار گرفته است. در ماه ژوئن، ترزور و Tropic Square یک نقص تراشه را در المان امن TROPIC01 که در Trezor Safe 7 استفاده می‌شود، پس از اینکه محققان Ledger Donjon این ضعف را در طول یک ممیزی مستقل پیدا کردند، فاش کردند.
Ledger Donjon از تزریق خطای لیزر در شرایط آزمایشگاهی برای استخراج برخی اسرار تراشه و دور زدن بررسی‌های امضای فریم‌ور استفاده کرد. ترزور گفت که این حمله نیاز به دسترسی فیزیکی و تجهیزات تخصصی داشت، در حالی که دو لایه امنیتی مستقل دیگر همچنان از دسترسی به کیف پول محافظت می‌کردند. کاربران نیازی به اقدام نداشتند.
حادثه ShipMonk، در مقایسه، شامل اطلاعات سفارش نگهداری شده توسط یک ارائه‌دهنده خدمات انجام سفارش بود، نه سخت‌افزار یا نرم‌افزاری که مسئول ایمن‌سازی کلیدهای خصوصی است.
پس از آخرین افشاگری، ترزور همچنین راه‌هایی را برای کاهش میزان اطلاعات شخصی مرتبط با خریدهای آینده کیف پول سخت‌افزاری توسط مشتریان تشریح کرد.
این شرکت استفاده از یک آدرس ایمیل را که به هویت اصلی مشتری مرتبط نیست، توصیه کرد و پرداخت‌های ارز دیجیتال را به عنوان جایگزینی برای کارت‌های اعتباری پیشنهاد داد. در صورت امکان، مشتریان می‌توانند از صندوق پستی نیز برای کاهش افشای آدرس منزل خود استفاده کنند، اگرچه ممکن است الزامات شناسایی و سوابق خدمات پستی همچنان اعمال شوند.
ترزور همچنین در حال آماده‌سازی سرویس تحویل ناشناس (Anonymous Delivery) است که برای کاهش اطلاعات مشتری نگهداری شده در طول ارسال کیف پول‌های سخت‌افزاری طراحی شده است.
بر اساس سیستم برنامه‌ریزی شده، سفارشات از یک فرآیند پرداخت اختصاصی، جمع‌آوری از لاکر، بسته‌بندی خنثی و اطلاعات فرستنده عمومی استفاده خواهند کرد. شناسه‌های حمل و نقل پس از تحویل به طور خودکار حذف می‌شوند.
ترزور اعلام کرد که قصد دارد سرویس تحویل ناشناس را تا سپتامبر 2026 در اتحادیه اروپا و تا پایان سال 2026 در ایالات متحده در دسترس قرار دهد.
