Trezor telah mengungkapkan bahwa informasi pribadi milik 13.689 pelanggan terekspos setelah aktor tidak sah mendapatkan akses ke sistem yang dioperasikan oleh penyedia pengirimannya, ShipMonk.
Trezor menyatakan dalam pemberitahuan keamanan pada 13 Agustus bahwa ShipMonk memberi tahu pembuat dompet perangkat keras tersebut pada 10 Agustus tentang akses tidak sah ke sistem yang berisi data pesanan pelanggan, dengan penyelidikan insiden masih berlangsung.
Pelanggaran ini memengaruhi pelanggan yang menerima pesanan Trezor antara 10 Mei dan 8 Agustus di Amerika Serikat, Inggris Raya, Swedia, Kolombia, Brasil, Italia, dan Portugal. Trezor mengatakan sistemnya sendiri tidak terkompromi dan dompet perangkat kerasnya tetap aman.
Dari pelanggan yang terpengaruh, 11.742 memiliki nama, alamat email, nomor telepon, dan alamat pengiriman yang terekspos. Sebanyak 1.947 pelanggan lainnya memiliki informasi parsial yang terkompromi, terdiri dari nama, kota, dan alamat email mereka.
Nomor pesanan juga termasuk di antara informasi yang disimpan oleh ShipMonk untuk pengiriman, menurut penjelasan Trezor mengenai insiden tersebut.
ShipMonk berfungsi sebagai penyedia logistik yang menyimpan produk Trezor dan menangani pengiriman di AS, Inggris, dan beberapa pasar lainnya. Perusahaan pemenuhan pesanan ini memerlukan nama pelanggan, alamat, nomor telepon, dan alamat email untuk memproses pengiriman.
Menurut Trezor, jumlah pelanggan yang terekspos dibatasi oleh kebijakan retensi data 90 harinya, yang juga diwajibkan kepada mitra pemenuhan pesanan. Informasi pelanggan yang terkait dengan pesanan lama telah dihapus atau dianonimkan, sehingga tidak disimpan dalam sistem ShipMonk yang terpengaruh.
Trezor menyatakan periode 90 hari dirancang untuk mencakup seluruh proses pesanan, termasuk pengiriman, pengembalian, pengembalian dana, dan penggantian produk. Setelah periode berakhir, informasi pelanggan terkait pembelian dihapus atau dianonimkan karena perusahaan tidak lagi membutuhkan alamat atau nomor telepon untuk tujuan pemenuhan pesanan.
Pelanggan yang terpengaruh telah diberitahu secara terpisah melalui email yang dikirim dari [email protected]. Pelanggan yang tidak menerima pemberitahuan keamanan tidak terpengaruh oleh insiden tersebut, menurut perusahaan.
ShipMonk sejak itu telah mengamankan sistem yang terpengaruh dan memperkuat keamanannya setelah pelanggaran, kata Trezor. Kedua perusahaan tetap berhubungan saat mereka berupaya menetapkan bagaimana akses tidak sah terjadi dan menentukan informasi pasti yang diakses.
Insiden ini merupakan pertama kalinya sejak Trezor didirikan pada tahun 2013 bahwa pelanggaran yang melibatkan perusahaan atau salah satu penyedianya telah mengekspos nomor telepon dan alamat pengiriman pelanggan.
"Kami benar-benar memahami betapa seriusnya hal ini dan potensi risiko yang ditimbulkannya bagi pelanggan kami dan kami sangat menyesal kepada mereka yang terpengaruh," kata Trezor.
Meskipun perangkat dompet dan infrastruktur Trezor tidak terpengaruh, perusahaan memperingatkan bahwa informasi pribadi yang terekspos dapat digunakan untuk membuat upaya phishing yang lebih meyakinkan.
Penyerang dapat menggunakan nama pelanggan, nomor telepon, email, atau alamat rumah untuk meniru Trezor, bursa mata uang kripto, atau bank. Perusahaan mengatakan pendekatan penipuan dapat datang melalui email, panggilan telepon, atau surat fisik.
Serangan semacam itu sebelumnya telah menargetkan pemilik dompet perangkat keras menggunakan informasi pribadi dan komunikasi yang tampak resmi. Pada bulan Februari, crypto.news melaporkan surat palsu yang dikirim ke pelanggan Trezor dan Ledger yang mengarahkan penerima ke situs web phishing melalui kode QR.
Surat-surat tersebut memberitahu penerima bahwa mereka perlu menyelesaikan otentikasi atau pemeriksaan transaksi dan mencoba menciptakan urgensi dengan memperingatkan tentang kemungkinan masalah dengan fungsionalitas dompet. Halaman phishing yang ditautkan meminta frasa pemulihan 12, 20, atau 24 kata, yang akan memberikan kendali kepada penyerang atas dompet setelah dikirimkan.
Surat fisik menimbulkan kekhawatiran khusus ketika penyerang sudah memiliki detail alamat korban. Kampanye phishing Ledger April 2025 serupa melibatkan surat-surat palsu yang membawa merek Ledger, alamat bisnis, dan nomor referensi individual.
Penerima dalam kampanye tersebut diinstruksikan untuk memindai kode QR dan memberikan frasa pemulihan 24 kata mereka dengan klaim bahwa pembaruan keamanan penting diperlukan.
Trezor telah memberitahu pelanggan yang terpengaruh oleh pelanggaran ShipMonk untuk memperlakukan komunikasi yang menuntut tindakan segera atau informasi pribadi dengan kecurigaan. Ia juga menyarankan pengguna untuk memverifikasi pesan terhadap komunikasi resminya dan tidak pernah memberikan cadangan dompet melalui situs web atau kepada orang lain.
Trezor sebelumnya telah menangani paparan informasi pelanggan melalui layanan pihak ketiga, meskipun perusahaan mengatakan insiden ShipMonk adalah yang pertama melibatkan kebocoran nomor telepon dan alamat pengiriman.
Pada Januari 2024, pihak tidak sah mengakses portal tiket dukungan pihak ketiga yang digunakan oleh Trezor, berpotensi mengekspos informasi kontak sekitar 66.000 pelanggan yang telah berinteraksi dengan tim dukungan sejak akhir 2021.
Perusahaan memberi tahu kontak yang terpengaruh pada saat itu dan menyatakan aset digital tidak terkompromi. Insiden tersebut melibatkan sistem dukungan eksternal daripada dompet perangkat keras Trezor.
Metode phishing lainnya muncul pada Juni 2025 ketika penyerang menyalahgunakan formulir kontak Trezor dengan mengirimkan permintaan dukungan menggunakan alamat email pengguna yang ditargetkan. Proses tersebut memicu balasan otomatis yang sah dari sistem Trezor, membuat komunikasi phishing yang dihasilkan tampak lebih kredibel.
Trezor pada saat itu menyatakan bahwa infrastruktur emailnya belum diretas dan formulir kontak tetap aman. Penyerang malah mengeksploitasi alur kerja dukungan untuk membuat pesan penipuan tampak terkait dengan korespondensi yang sah.
Keamanan perangkat keras secara terpisah tetap berada di bawah pengawasan. Pada bulan Juni, Trezor dan Tropic Square mengungkapkan cacat chip yang memengaruhi Elemen Aman TROPIC01 yang digunakan di Trezor Safe 7 setelah peneliti dari Ledger Donjon menemukan kelemahan tersebut selama audit independen.
Ledger Donjon menggunakan injeksi kesalahan laser dalam kondisi laboratorium untuk mengekstrak beberapa rahasia chip dan melewati pemeriksaan tanda tangan firmware. Trezor mengatakan serangan itu memerlukan akses fisik dan peralatan khusus, sementara dua lapisan keamanan independen lainnya terus melindungi akses ke dompet. Pengguna tidak diwajibkan untuk mengambil tindakan.
Insiden ShipMonk, sebagai perbandingan, melibatkan informasi pesanan yang disimpan oleh penyedia pemenuhan pesanan daripada perangkat keras atau perangkat lunak yang bertanggung jawab untuk mengamankan kunci pribadi.
Menyusul pengungkapan terbaru, Trezor juga merinci cara-cara pelanggan dapat mengurangi jumlah informasi pribadi yang terhubung dengan pembelian dompet perangkat keras di masa mendatang.
Perusahaan merekomendasikan penggunaan alamat email yang tidak terhubung dengan identitas utama pelanggan dan menyarankan pembayaran mata uang kripto sebagai alternatif kartu kredit. Jika tersedia, pelanggan juga dapat menggunakan Kotak Pos (P.O. Box) untuk mengurangi paparan alamat rumah mereka, meskipun persyaratan identifikasi dan catatan layanan pos mungkin masih berlaku.
Trezor juga sedang mempersiapkan layanan Pengiriman Anonim yang dirancang untuk mengurangi informasi pelanggan yang disimpan selama pengiriman dompet perangkat keras.
Di bawah sistem yang direncanakan, pesanan akan menggunakan proses pembayaran khusus, pengambilan loker, kemasan netral, dan informasi pengirim umum. Pengidentifikasi pengiriman kemudian akan dihapus secara otomatis setelah pengiriman.
Trezor menyatakan berencana untuk menyediakan Pengiriman Anonim di Uni Eropa pada September 2026, diikuti dengan peluncuran di AS pada akhir tahun 2026.
