Trezor a dezvăluit că informațiile personale aparținând unui număr de 13.689 de clienți au fost expuse după ce un actor neautorizat a obținut acces la sistemele operate de furnizorul său de servicii de livrare ShipMonk.
Trezor a declarat într-o notificare de securitate din 13 august că ShipMonk a informat producătorul de portofele hardware pe 10 august cu privire la accesul neautorizat la sistemele care conțineau date despre comenzile clienților, o investigație a incidentului fiind încă în desfășurare.
Breșa a afectat clienții care au primit comenzi Trezor între 10 mai și 8 august în Statele Unite, Regatul Unit, Suedia, Columbia, Brazilia, Italia și Portugalia. Trezor a declarat că propriile sale sisteme nu au fost compromise și că portofelele sale hardware rămân sigure.
Dintre clienții afectați, 11.742 au avut numele, adresele de e-mail, numerele de telefon și adresele de livrare expuse. Alți 1.947 de clienți au avut informații parțiale compromise, constând în numele, orașele și adresele de e-mail.
Numerele de comandă s-au numărat, de asemenea, printre informațiile deținute de ShipMonk pentru livrări, conform explicației Trezor cu privire la incident.
ShipMonk servește ca furnizor de logistică ce stochează produse Trezor și gestionează livrările în S.U.A., Marea Britanie și alte câteva piețe. Compania de onorare a comenzilor necesită numele clienților, adresele, numerele de telefon și adresele de e-mail pentru a procesa expedierile.
Conform Trezor, numărul clienților expuși a fost limitat de politica sa de păstrare a datelor de 90 de zile, pe care o cere și partenerilor de onorare a comenzilor să o respecte. Informațiile clienților asociate cu comenzile mai vechi fuseseră deja șterse sau anonimizate și, prin urmare, nu erau stocate în sistemele afectate ale ShipMonk.
Trezor a declarat că perioada de 90 de zile a fost concepută pentru a acoperi întregul proces de comandă, inclusiv livrarea, retururile, rambursările și înlocuirile de produse. Odată ce perioada se încheie, informațiile clienților legate de achiziții sunt șterse sau anonimizate, deoarece compania nu mai are nevoie de adresă sau numărul de telefon în scopuri de onorare a comenzilor.
Clienții afectați au fost notificați separat prin e-mailuri trimise de la [email protected]. Clienții care nu au primit notificarea de securitate nu au fost afectați de incident, conform companiei.
ShipMonk a securizat de atunci sistemele afectate și și-a consolidat securitatea în urma breșei, a declarat Trezor. Ambele companii rămân în contact în timp ce lucrează pentru a stabili cum a avut loc accesul neautorizat și pentru a determina informațiile exacte care au fost accesate.
Incidentul reprezintă prima dată de la înființarea Trezor în 2013 când o breșă care implică compania sau unul dintre furnizorii săi a expus numere de telefon și adrese de livrare ale clienților.
„Înțelegem pe deplin cât de grav este acest lucru și riscurile potențiale pe care le prezintă pentru clienții noștri și ne pare profund rău pentru cei afectați”, a declarat Trezor.
Deși dispozitivele portofel și infrastructura Trezor nu au fost afectate, compania a avertizat că informațiile personale expuse ar putea fi utilizate pentru a crea tentative de phishing mai convingătoare.
Atacatorii ar putea folosi numele, numărul de telefon, e-mailul sau adresa de domiciliu a unui client pentru a se da drept Trezor, un schimb de criptomonede sau o bancă. Compania a declarat că abordările frauduloase ar putea sosi prin e-mailuri, apeluri telefonice sau scrisori fizice.
Astfel de atacuri au vizat anterior proprietarii de portofele hardware folosind informații personale și comunicări cu aspect oficial. În februarie, crypto.news a raportat despre scrisori false trimise clienților Trezor și Ledger care direcționau destinatarii către site-uri web de phishing prin coduri QR.
Scrisorile le spuneau destinatarilor că trebuie să finalizeze o verificare de autentificare sau de tranzacție și încercau să creeze urgență avertizând despre posibile probleme cu funcționalitatea portofelului. Paginile de phishing conectate solicitau fraze de recuperare de 12, 20 sau 24 de cuvinte, ceea ce ar oferi atacatorilor controlul asupra unui portofel odată trimise.
Scrisorile fizice prezintă o preocupare deosebită atunci când atacatorii dețin deja detaliile de corespondență ale unei victime. O campanie de phishing Ledger din aprilie 2025 a implicat în mod similar scrisori frauduloase purtând marca Ledger, o adresă de afaceri și numere individuale de referință.
Destinatarilor din acea campanie li s-a cerut să scaneze un cod QR și să furnizeze fraza lor de recuperare de 24 de cuvinte sub pretextul că era necesară o actualizare critică de securitate.
Trezor le-a spus clienților afectați de breșa ShipMonk să trateze cu suspiciune comunicările care solicită acțiuni imediate sau informații personale. De asemenea, a sfătuit utilizatorii să verifice mesajele în raport cu comunicările sale oficiale și să nu furnizeze niciodată o copie de rezervă a portofelului printr-un site web sau unei alte persoane.
Trezor s-a confruntat anterior cu expunerea informațiilor clienților prin servicii terțe, deși compania a declarat că incidentul ShipMonk a fost primul său care a implicat numere de telefon și adrese de livrare scurse.
În ianuarie 2024, o parte neautorizată a accesat un portal de suport pentru bilete operat de o terță parte utilizat de Trezor, expunând potențial informațiile de contact aparținând unui număr de aproximativ 66.000 de clienți care interacționaseră cu echipa de suport de la sfârșitul anului 2021.
Compania a notificat contactele afectate la momentul respectiv și a declarat că activele digitale nu au fost compromise. Incidentul a implicat sistemul extern de suport, mai degrabă decât portofelele hardware Trezor.
O altă metodă de phishing a apărut în iunie 2025, când atacatorii au abuzat de formularul de contact Trezor prin trimiterea de cereri de suport folosind adresele de e-mail ale utilizatorilor vizați. Procesul a declanșat răspunsuri automate legitime din partea sistemului Trezor, făcând comunicările de phishing rezultate să pară mai credibile.
Trezor a declarat la momentul respectiv că infrastructura sa de e-mail nu fusese compromisă și că formularul de contact a rămas securizat. Atacatorii au exploatat în schimb fluxul de lucru al suportului pentru a face mesajele frauduloase să pară conectate la corespondența legitimă.
Securitatea hardware a rămas separat sub scrutin. În iunie, Trezor și Tropic Square au dezvăluit o vulnerabilitate a cipului care afectează Elementul Securizat TROPIC01 utilizat în Trezor Safe 7, după ce cercetătorii de la Ledger Donjon au descoperit slăbiciunea în timpul unui audit independent.
Ledger Donjon a folosit injecția de erori cu laser în condiții de laborator pentru a extrage unele secrete ale cipului și a ocoli verificările de semnătură ale firmware-ului. Trezor a declarat că atacul a necesitat acces fizic și echipament specializat, în timp ce alte două straturi de securitate independente au continuat să protejeze accesul la portofel. Utilizatorilor nu li s-a cerut să ia măsuri.
Incidentul ShipMonk, prin comparație, a implicat informații despre comenzi deținute de un furnizor de onorare a comenzilor, mai degrabă decât hardware-ul sau software-ul responsabil pentru securizarea cheilor private.
În urma celei mai recente dezvăluiri, Trezor a detaliat, de asemenea, modalități prin care clienții pot reduce cantitatea de informații personale legate de achizițiile viitoare de portofele hardware.
Compania a recomandat utilizarea unei adrese de e-mail care nu este legată de identitatea primară a unui client și a sugerat plățile cu criptomonede ca alternativă la cardurile de credit. Acolo unde este disponibil, clienții pot folosi, de asemenea, o cutie poștală pentru a reduce expunerea adresei lor de domiciliu, deși cerințele de identificare și înregistrările serviciilor poștale ar putea încă să se aplice.
Trezor pregătește, de asemenea, un serviciu de Livrare Anonimă conceput pentru a reduce informațiile clienților reținute în timpul expedierilor de portofele hardware.
Conform sistemului planificat, comenzile ar utiliza un proces de finalizare a comenzii dedicat, colectare din dulapuri automate, ambalaj neutru și informații generice despre expeditor. Identificatorii de expediere ar fi apoi șterși automat după livrare.
Trezor a declarat că intenționează să facă serviciul de Livrare Anonimă disponibil în Uniunea Europeană până în septembrie 2026, urmat de o lansare în S.U.A. până la sfârșitul anului 2026.
