Inihayag ng Trezor na ang personal na impormasyon ng 13,689 na customer ay nalantad matapos na ma-access ng isang hindi awtorisadong indibidwal ang mga sistema na pinapatakbo ng kanilang shipping provider na ShipMonk.
Sinabi ng Trezor sa isang abiso sa seguridad noong Agosto 13 na ipinagbigay-alam ng ShipMonk sa gumagawa ng hardware wallet noong Agosto 10 ang tungkol sa hindi awtorisadong pag-access sa mga sistema na naglalaman ng data ng order ng customer, at patuloy pa rin ang imbestigasyon sa insidente.
Naapektuhan ng breach ang mga customer na tumanggap ng mga order ng Trezor sa pagitan ng Mayo 10 at Agosto 8 sa United States, United Kingdom, Sweden, Colombia, Brazil, Italy at Portugal. Sinabi ng Trezor na ang sarili nitong mga sistema ay hindi nakompromiso at ang kanilang mga hardware wallet ay nananatiling secure.
Sa mga apektadong customer, 11,742 ang nalantad ang kanilang mga pangalan, email address, numero ng telepono, at shipping address. Ang isa pang 1,947 na customer ay nagkaroon ng bahagyang impormasyon na nakompromiso, na binubuo ng kanilang mga pangalan, lungsod, at email address.
Kasama rin sa impormasyong hawak ng ShipMonk para sa mga delivery ang mga numero ng order, ayon sa paliwanag ng Trezor tungkol sa insidente.
Ang ShipMonk ay nagsisilbing logistics provider na nag-iimbak ng mga produkto ng Trezor at humahawak ng mga delivery sa U.S., U.K., at ilang iba pang merkado. Nangangailangan ang fulfillment company ng mga pangalan ng customer, address, numero ng telepono, at email address upang iproseso ang mga shipment.
Ayon sa Trezor, nalimita ang bilang ng mga customer na nalantad dahil sa 90-araw nitong patakaran sa pagpapanatili ng data, na kinakailangan din nitong sundin ng mga kasosyo sa fulfillment. Ang impormasyon ng customer na nauugnay sa mas lumang mga order ay na-delete na o na-anonymize at samakatuwid ay hindi nakaimbak sa mga apektadong sistema ng ShipMonk.
Sinabi ng Trezor na ang 90-araw na panahon ay idinisenyo upang sakop ang buong proseso ng order, kabilang ang delivery, returns, refund, at pagpapalit ng produkto. Kapag natapos ang panahon, ang impormasyon ng customer na may kaugnayan sa pagbili ay ine-delete o ina-anonymize dahil hindi na kailangan ng kumpanya ang address o numero ng telepono para sa mga layunin ng fulfillment.
Hiwalay na inabisuhan ang mga apektadong customer sa pamamagitan ng mga email na ipinadala mula sa [email protected]. Ang mga customer na hindi nakatanggap ng abiso sa seguridad ay hindi naapektuhan ng insidente, ayon sa kumpanya.
Na-secure na ng ShipMonk ang mga apektadong sistema at pinalakas ang seguridad nito pagkatapos ng breach, sinabi ng Trezor. Patuloy na nakikipag-ugnayan ang dalawang kumpanya habang inaalam nila kung paano nangyari ang hindi awtorisadong pag-access at tinutukoy ang eksaktong impormasyong na-access.
Ang insidente ay kumakatawan sa unang pagkakataon mula nang itatag ang Trezor noong 2013 na isang breach na kinasasangkutan ng kumpanya o isa sa mga provider nito ang naglantad ng mga numero ng telepono at shipping address ng customer.
“Lubos naming naiintindihan kung gaano ito kaseryoso at ang mga posibleng panganib na idudulot nito sa aming mga customer at labis kaming humihingi ng paumanhin sa mga apektado,” sabi ng Trezor.
Bagama't hindi naapektuhan ang mga device ng wallet at imprastraktura ng Trezor, binalaan ng kumpanya na ang nalantad na personal na impormasyon ay maaaring gamitin upang lumikha ng mas mapanlinlang na mga pagtatangka ng phishing.
Maaaring gamitin ng mga attacker ang pangalan ng customer, numero ng telepono, email o address ng bahay upang magpanggap na Trezor, isang cryptocurrency exchange o isang bangko. Sinabi ng kumpanya na ang mga mapanlinlang na pamamaraan ay maaaring dumating sa pamamagitan ng mga email, tawag sa telepono o pisikal na liham.
Ang ganitong mga pag-atake ay dati nang target ang mga may-ari ng hardware wallet gamit ang personal na impormasyon at opisyal na komunikasyon. Noong Pebrero, iniulat ng crypto.news ang tungkol sa mga pekeng liham na ipinadala sa mga customer ng Trezor at Ledger na nagdidirekta sa mga tatanggap sa mga phishing website sa pamamagitan ng mga QR code.
Sinabi ng mga liham sa mga tatanggap na kailangan nilang kumpletuhin ang isang authentication o transaction check at sinubukang lumikha ng pagmamadali sa pamamagitan ng pagbabala tungkol sa posibleng mga problema sa functionality ng wallet. Hiniling ng mga naka-link na phishing page ang 12-, 20- o 24-word recovery phrases, na magbibigay sa mga attacker ng kontrol sa isang wallet kapag naisumite.
Ang mga pisikal na liham ay nagdudulot ng partikular na pag-aalala kapag ang mga attacker ay mayroon nang mailing details ng biktima. Isang kampanya ng phishing ng Ledger noong Abril 2025 ang katulad na kinasasangkutan ng mga mapanlinlang na liham na naglalaman ng branding ng Ledger, isang business address, at indibidwal na reference number.
Ang mga tatanggap sa kampanyang iyon ay inutusan na i-scan ang isang QR code at ibigay ang kanilang 24-word recovery phrase sa ilalim ng claim na kinakailangan ang isang kritikal na update sa seguridad.
Sinabi ng Trezor sa mga customer na apektado ng breach ng ShipMonk na tratuhin nang may pagdududa ang mga komunikasyon na humihingi ng agarang aksyon o personal na impormasyon. Pinayuhan din nito ang mga user na i-verify ang mga mensahe laban sa opisyal nitong komunikasyon at huwag kailanman magbigay ng backup ng wallet sa pamamagitan ng website o sa ibang tao.
Hinarap na ng Trezor ang pagkalantad ng impormasyon ng customer sa pamamagitan ng mga third-party service dati, bagama't sinabi ng kumpanya na ang insidente ng ShipMonk ang una nitong kinasasangkutan ng leaked na mga numero ng telepono at shipping address.
Noong Enero 2024, na-access ng isang hindi awtorisadong partido ang isang third-party support ticket portal na ginamit ng Trezor, na posibleng naglantad ng impormasyon sa pakikipag-ugnayan ng humigit-kumulang 66,000 na customer na nakipag-ugnayan sa support team mula noong huling bahagi ng 2021.
Inabisuhan ng kumpanya ang mga apektadong contact sa panahong iyon at sinabi na ang mga digital asset ay hindi nakompromiso. Ang insidente ay kinasasangkutan ng panlabas na support system sa halip na mga Trezor hardware wallet.
Lumabas ang isa pang paraan ng phishing noong Hunyo 2025 nang abusuhin ng mga attacker ang contact form ng Trezor sa pamamagitan ng pagsumite ng mga support request gamit ang email address ng mga target na user. Ang proseso ay nag-trigger ng lehitimong automated replies mula sa sistema ng Trezor, na nagpapalitaw sa mga nagresultang phishing communication na lumabas na mas kapani-paniwala.
Sinabi ng Trezor noon na hindi na-breach ang imprastraktura ng email nito at nanatiling secure ang contact form. Sa halip, sinamantala ng mga attacker ang workflow ng suporta upang lumabas ang mga mapanlinlang na mensahe na konektado sa lehitimong korespondensiya.
Hiwalay na nanatili sa ilalim ng pagsusuri ang seguridad ng hardware. Noong Hunyo, inihayag ng Trezor at Tropic Square ang isang chip flaw na nakakaapekto sa TROPIC01 Secure Element na ginamit sa Trezor Safe 7 matapos matuklasan ng mga researcher mula sa Ledger Donjon ang kahinaan sa panahon ng isang independiyenteng audit.
Ginamit ng Ledger Donjon ang laser fault injection sa ilalim ng laboratory conditions upang makuha ang ilang chip secrets at i-bypass ang firmware signature checks. Sinabi ng Trezor na ang pag-atake ay nangailangan ng pisikal na pag-access at espesyal na kagamitan, habang dalawa pang independiyenteng security layer ang patuloy na nagpoprotekta sa pag-access sa wallet. Hindi kinailangan ng mga user na gumawa ng aksyon.
Ang insidente ng ShipMonk, sa paghahambing, ay kinasasangkutan ng impormasyon ng order na hawak ng isang fulfillment provider sa halip na ang hardware o software na responsable para sa pag-secure ng mga private key.
Kasunod ng pinakahuling paghahayag, idinetalye rin ng Trezor ang mga paraan kung paano mababawasan ng mga customer ang dami ng personal na impormasyon na konektado sa mga pagbili ng hardware wallet sa hinaharap.
Inirerekomenda ng kumpanya ang paggamit ng email address na hindi naka-link sa pangunahing pagkakakilanlan ng customer at iminungkahi ang mga pagbabayad sa cryptocurrency bilang alternatibo sa mga credit card. Kung available, maaaring gumamit din ang mga customer ng P.O. Box upang mabawasan ang pagkalantad ng kanilang address sa bahay, bagama't maaaring ipatupad pa rin ang mga kinakailangan sa pagkakakilanlan at mga rekord ng serbisyo ng koreo.
Inihahanda rin ng Trezor ang isang serbisyo ng Anonymous Delivery na idinisenyo upang bawasan ang impormasyon ng customer na pinanatili sa panahon ng mga shipment ng hardware wallet.
Sa ilalim ng nakaplanong sistema, gagamitin ng mga order ang isang dedicated checkout process, locker collection, neutral packaging, at generic sender information. Ang mga shipping identifier ay awtomatikong ide-delete pagkatapos ng delivery.
Sinabi ng Trezor na plano nitong gawing available ang Anonymous Delivery sa European Union pagdating ng Setyembre 2026, na susundan ng paglulunsad sa U.S. sa pagtatapos ng 2026.
