ट्रेज़ोर ने खुलासा किया है कि उसके शिपिंग प्रदाता शिपमोंक द्वारा संचालित सिस्टम तक एक अनाधिकृत व्यक्ति की पहुंच के बाद 13,689 ग्राहकों की व्यक्तिगत जानकारी उजागर हुई है।
ट्रेज़ोर ने 13 अगस्त की एक सुरक्षा सूचना में कहा कि शिपमोंक ने 10 अगस्त को हार्डवेयर वॉलेट निर्माता को ग्राहक ऑर्डर डेटा वाले सिस्टम तक अनाधिकृत पहुंच के बारे में सूचित किया था, और घटना की जांच अभी भी जारी है।
यह सेंधमारी उन ग्राहकों को प्रभावित करती है, जिन्होंने 10 मई और 8 अगस्त के बीच संयुक्त राज्य अमेरिका, यूनाइटेड किंगडम, स्वीडन, कोलंबिया, ब्राजील, इटली और पुर्तगाल में ट्रेज़ोर ऑर्डर प्राप्त किए थे। ट्रेज़ोर ने कहा कि उसके अपने सिस्टम से समझौता नहीं किया गया था और उसके हार्डवेयर वॉलेट सुरक्षित हैं।
प्रभावित ग्राहकों में से 11,742 के नाम, ईमेल पते, फ़ोन नंबर और शिपिंग पते उजागर हुए। अन्य 1,947 ग्राहकों की आंशिक जानकारी, जिसमें उनके नाम, शहर और ईमेल पते शामिल थे, से समझौता हुआ।
ट्रेज़ोर की घटना के स्पष्टीकरण के अनुसार, ऑर्डर नंबर भी शिपमोंक के पास डिलीवरी के लिए रखी गई जानकारी में शामिल थे।
शिपमोंक एक लॉजिस्टिक्स प्रदाता के रूप में कार्य करता है जो ट्रेज़ोर उत्पादों को संग्रहीत करता है और अमेरिका, यूके और कई अन्य बाजारों में डिलीवरी को संभालता है। शिपमेंट को संसाधित करने के लिए पूर्ति कंपनी को ग्राहक के नाम, पते, फ़ोन नंबर और ईमेल पतों की आवश्यकता होती है।
ट्रेज़ोर के अनुसार, उजागर हुए ग्राहकों की संख्या उसकी 90-दिवसीय डेटा प्रतिधारण नीति द्वारा सीमित थी, जिसका पालन वह अपने पूर्ति भागीदारों से भी करवाता है। पुराने ऑर्डर से संबंधित ग्राहक जानकारी पहले ही हटा दी गई थी या गुमनाम कर दी गई थी और इसलिए प्रभावित शिपमोंक सिस्टम में संग्रहीत नहीं थी।
ट्रेज़ोर ने कहा कि 90-दिन की अवधि को डिलीवरी, रिटर्न, रिफंड और उत्पाद प्रतिस्थापन सहित पूरी ऑर्डर प्रक्रिया को कवर करने के लिए डिज़ाइन किया गया था। एक बार अवधि समाप्त होने के बाद, खरीद-संबंधी ग्राहक जानकारी हटा दी जाती है या गुमनाम कर दी जाती है क्योंकि कंपनी को अब पूर्ति उद्देश्यों के लिए पते या फ़ोन नंबर की आवश्यकता नहीं होती है।
प्रभावित ग्राहकों को [email protected] से भेजे गए ईमेल के माध्यम से अलग से सूचित किया गया है। कंपनी के अनुसार, जिन ग्राहकों को सुरक्षा सूचना नहीं मिली, वे इस घटना से प्रभावित नहीं हुए।
ट्रेज़ोर ने कहा कि शिपमोंक ने तब से प्रभावित सिस्टम को सुरक्षित कर लिया है और सेंधमारी के बाद अपनी सुरक्षा मजबूत की है। दोनों कंपनियां संपर्क में बनी हुई हैं क्योंकि वे यह स्थापित करने के लिए काम कर रही हैं कि अनाधिकृत पहुंच कैसे हुई और किस सटीक जानकारी तक पहुंच बनाई गई थी।
यह घटना 2013 में ट्रेज़ोर की स्थापना के बाद से पहली बार है कि कंपनी या उसके किसी प्रदाता से जुड़ी किसी सेंधमारी में ग्राहक के फ़ोन नंबर और शिपिंग पते उजागर हुए हैं।
ट्रेज़ोर ने कहा, "हम निश्चित रूप से समझते हैं कि यह कितना गंभीर है और इससे हमारे ग्राहकों को क्या संभावित जोखिम हो सकते हैं, और प्रभावित लोगों से हम गहराई से माफी चाहते हैं।"
हालांकि वॉलेट डिवाइस और ट्रेज़ोर के बुनियादी ढांचे अप्रभावित रहे, कंपनी ने चेतावनी दी कि उजागर की गई व्यक्तिगत जानकारी का उपयोग अधिक विश्वसनीय फ़िशिंग प्रयासों को बनाने के लिए किया जा सकता है।
हमलावर किसी ग्राहक के नाम, फ़ोन नंबर, ईमेल या घर के पते का उपयोग करके ट्रेज़ोर, एक क्रिप्टोक्यूरेंसी एक्सचेंज या बैंक का प्रतिरूपण कर सकते हैं। कंपनी ने कहा कि धोखाधड़ी के दृष्टिकोण ईमेल, फ़ोन कॉल या भौतिक पत्रों के माध्यम से आ सकते हैं।
ऐसे हमलों ने पहले व्यक्तिगत जानकारी और आधिकारिक दिखने वाले संचार का उपयोग करके हार्डवेयर वॉलेट मालिकों को निशाना बनाया है। फरवरी में, crypto.news ने ट्रेज़ोर और लेजर ग्राहकों को भेजे गए नकली पत्रों की सूचना दी थी, जिसमें प्राप्तकर्ताओं को क्यूआर कोड के माध्यम से फ़िशिंग वेबसाइटों पर निर्देशित किया गया था।
पत्रों में प्राप्तकर्ताओं को बताया गया था कि उन्हें एक प्रमाणीकरण या लेनदेन जांच पूरी करने की आवश्यकता है और वॉलेट कार्यक्षमता के साथ संभावित समस्याओं के बारे में चेतावनी देकर तात्कालिकता पैदा करने का प्रयास किया गया था। लिंक्ड फ़िशिंग पेजों ने 12-, 20- या 24-शब्दों के रिकवरी वाक्यांशों का अनुरोध किया, जो एक बार सबमिट करने पर हमलावरों को वॉलेट पर नियंत्रण दे देगा।
भौतिक पत्र एक विशेष चिंता का विषय प्रस्तुत करते हैं जब हमलावरों के पास पहले से ही पीड़ित के मेलिंग विवरण होते हैं। अप्रैल 2025 के लेजर फ़िशिंग अभियान में भी इसी तरह लेजर ब्रांडिंग, एक व्यावसायिक पता और व्यक्तिगत संदर्भ संख्या वाले धोखाधड़ी वाले पत्र शामिल थे।
उस अभियान के प्राप्तकर्ताओं को एक क्यूआर कोड स्कैन करने और दावा करते हुए अपने 24-शब्दों के रिकवरी वाक्यांश प्रदान करने का निर्देश दिया गया था कि एक महत्वपूर्ण सुरक्षा अपडेट की आवश्यकता है।
ट्रेज़ोर ने शिपमोंक सेंधमारी से प्रभावित ग्राहकों को तत्काल कार्रवाई या व्यक्तिगत जानकारी की मांग करने वाले संचार को संदेह के साथ व्यवहार करने के लिए कहा है। इसने उपयोगकर्ताओं को अपने आधिकारिक संचार के खिलाफ संदेशों को सत्यापित करने और किसी वेबसाइट या किसी अन्य व्यक्ति के माध्यम से कभी भी वॉलेट बैकअप प्रदान न करने की भी सलाह दी।
ट्रेज़ोर ने पहले भी तृतीय-पक्ष सेवाओं के माध्यम से ग्राहक जानकारी के संपर्क से निपटा है, हालांकि कंपनी ने कहा कि शिपमोंक घटना लीक हुए फ़ोन नंबर और शिपिंग पतों से जुड़ी पहली घटना थी।
जनवरी 2024 में, एक अनाधिकृत पार्टी ने ट्रेज़ोर द्वारा उपयोग किए जाने वाले एक तृतीय-पक्ष समर्थन टिकट पोर्टल तक पहुंच प्राप्त की, जिससे 2021 के अंत से समर्थन टीम के साथ बातचीत करने वाले लगभग 66,000 ग्राहकों की संपर्क जानकारी संभावित रूप से उजागर हो गई।
कंपनी ने उस समय प्रभावित संपर्कों को सूचित किया और कहा कि डिजिटल संपत्तियों से समझौता नहीं किया गया था। इस घटना में ट्रेज़ोर हार्डवेयर वॉलेट के बजाय बाहरी समर्थन प्रणाली शामिल थी।
एक अन्य फ़िशिंग तरीका जून 2025 में सामने आया जब हमलावरों ने लक्षित उपयोगकर्ताओं के ईमेल पतों का उपयोग करके समर्थन अनुरोध प्रस्तुत करके ट्रेज़ोर के संपर्क फ़ॉर्म का दुरुपयोग किया। इस प्रक्रिया ने ट्रेज़ोर के सिस्टम से वैध स्वचालित जवाबों को ट्रिगर किया, जिससे परिणामी फ़िशिंग संचार अधिक विश्वसनीय दिखाई दिए।
ट्रेज़ोर ने उस समय कहा था कि उसके ईमेल बुनियादी ढांचे का उल्लंघन नहीं किया गया था और संपर्क फ़ॉर्म सुरक्षित था। हमलावरों ने धोखाधड़ी वाले संदेशों को वैध पत्राचार से जुड़ा हुआ दिखाने के लिए समर्थन कार्यप्रवाह का फायदा उठाया।
हार्डवेयर सुरक्षा पर अलग से जांच बनी हुई है। जून में, ट्रेज़ोर और ट्रॉपिक स्क्वायर ने ट्रेज़ोर सेफ 7 में उपयोग किए गए TROPIC01 सुरक्षित तत्व को प्रभावित करने वाली एक चिप खराबी का खुलासा किया, जब लेजर डोनजॉन के शोधकर्ताओं ने एक स्वतंत्र ऑडिट के दौरान कमजोरी का पता लगाया।
लेजर डोनजॉन ने कुछ चिप रहस्यों को निकालने और फ़र्मवेयर हस्ताक्षर जांच को बायपास करने के लिए प्रयोगशाला परिस्थितियों में लेज़र फ़ॉल्ट इंजेक्शन का उपयोग किया। ट्रेज़ोर ने कहा कि हमले के लिए भौतिक पहुंच और विशेष उपकरण की आवश्यकता थी, जबकि दो अन्य स्वतंत्र सुरक्षा परतें वॉलेट तक पहुंच की रक्षा करती रहीं। उपयोगकर्ताओं को कोई कार्रवाई करने की आवश्यकता नहीं थी।
शिपमोंक घटना, तुलनात्मक रूप से, निजी कुंजियों को सुरक्षित करने के लिए जिम्मेदार हार्डवेयर या सॉफ़्टवेयर के बजाय एक पूर्ति प्रदाता द्वारा रखी गई ऑर्डर जानकारी से संबंधित थी।
नवीनतम खुलासे के बाद, ट्रेज़ोर ने उन तरीकों का भी विवरण दिया जिनसे ग्राहक भविष्य में हार्डवेयर वॉलेट खरीद से जुड़ी व्यक्तिगत जानकारी की मात्रा को कम कर सकते हैं।
कंपनी ने एक ईमेल पते का उपयोग करने की सिफारिश की जो ग्राहक की प्राथमिक पहचान से जुड़ा नहीं है और क्रेडिट कार्ड के विकल्प के रूप में क्रिप्टोक्यूरेंसी भुगतान का सुझाव दिया। जहां उपलब्ध हो, ग्राहक अपने घर के पते के संपर्क को कम करने के लिए पी.ओ. बॉक्स का भी उपयोग कर सकते हैं, हालांकि पहचान आवश्यकताओं और डाक सेवा रिकॉर्ड अभी भी लागू हो सकते हैं।
ट्रेज़ोर एक गुमनाम डिलीवरी सेवा भी तैयार कर रहा है जिसे हार्डवेयर वॉलेट शिपमेंट के दौरान रखी गई ग्राहक जानकारी को कम करने के लिए डिज़ाइन किया गया है।
योजनाबद्ध प्रणाली के तहत, ऑर्डर एक समर्पित चेकआउट प्रक्रिया, लॉकर संग्रह, तटस्थ पैकेजिंग और सामान्य प्रेषक जानकारी का उपयोग करेंगे। डिलीवरी के बाद शिपिंग पहचानकर्ता स्वचालित रूप से हटा दिए जाएंगे।
ट्रेज़ोर ने कहा कि वह सितंबर 2026 तक यूरोपीय संघ में गुमनाम डिलीवरी उपलब्ध कराने की योजना बना रहा है, जिसके बाद 2026 के अंत तक अमेरिका में इसका रोलआउट किया जाएगा।
