Trezor повідомив, що персональна інформація 13 689 клієнтів була розкрита після того, як несанкціонований суб'єкт отримав доступ до систем, якими керує його постачальник послуг доставки ShipMonk.
Trezor заявив у повідомленні про безпеку від 13 серпня, що ShipMonk 10 серпня повідомив виробника апаратних гаманців про несанкціонований доступ до систем, що містять дані про замовлення клієнтів, і розслідування інциденту все ще триває.
Витік даних торкнувся клієнтів, які отримували замовлення Trezor у період з 10 травня по 8 серпня в Сполучених Штатах, Великій Британії, Швеції, Колумбії, Бразилії, Італії та Португалії. Trezor заявив, що його власні системи не були скомпрометовані, а його апаратні гаманці залишаються безпечними.
Серед постраждалих клієнтів у 11 742 осіб були розкриті імена, адреси електронної пошти, номери телефонів та адреси доставки. У ще 1 947 клієнтів була скомпрометована часткова інформація, що складалася з їхніх імен, міст та адрес електронної пошти.
Номери замовлень також були серед інформації, що зберігалася ShipMonk для доставки, згідно з поясненням інциденту від Trezor.
ShipMonk виконує функції логістичного провайдера, який зберігає продукти Trezor та здійснює доставку в США, Велику Британію та на деякі інші ринки. Компанія-виконавець замовлень вимагає імена клієнтів, адреси, номери телефонів та електронні адреси для обробки відправлень.
За словами Trezor, кількість розкритих клієнтів була обмежена його 90-денною політикою зберігання даних, яку він також вимагає від партнерів з виконання замовлень. Інформація про клієнтів, пов'язана зі старішими замовленнями, вже була видалена або анонімізована, і тому не зберігалася в постраждалих системах ShipMonk.
Trezor заявив, що 90-денний період був розроблений для охоплення всього процесу замовлення, включаючи доставку, повернення, відшкодування та заміну продуктів. Після закінчення цього періоду клієнтська інформація, пов'язана з покупкою, видаляється або анонімізується, оскільки компанії більше не потрібні адреса або номер телефону для цілей виконання замовлення.
Постраждалі клієнти були окремо повідомлені електронними листами, надісланими з [email protected]. Клієнти, які не отримали повідомлення про безпеку, не постраждали від інциденту, за даними компанії.
ShipMonk з того часу забезпечив постраждалі системи та посилив свою безпеку після витоку даних, повідомив Trezor. Обидві компанії залишаються на зв'язку, працюючи над встановленням того, як стався несанкціонований доступ, та визначенням точної інформації, яка була доступна.
Цей інцидент є першим з моменту заснування Trezor у 2013 році, коли витік даних, пов'язаний з компанією або одним із її провайдерів, розкрив номери телефонів та адреси доставки клієнтів.
«Ми абсолютно розуміємо серйозність цього інциденту та потенційні ризики, які він несе для наших клієнтів, і глибоко шкодуємо тим, кого це торкнулося», – заявив Trezor.
Хоча пристрої гаманців та інфраструктура Trezor не постраждали, компанія попередила, що розкрита персональна інформація може бути використана для створення більш переконливих фішингових спроб.
Зловмисники можуть використовувати ім'я клієнта, номер телефону, електронну пошту або домашню адресу, щоб видавати себе за Trezor, криптовалютну біржу або банк. Компанія заявила, що шахрайські підходи можуть надходити через електронні листи, телефонні дзвінки або фізичні листи.
Подібні атаки раніше були спрямовані на власників апаратних гаманців з використанням персональної інформації та офіційно виглядаючих повідомлень. У лютому crypto.news повідомляло про підроблені листи, надіслані клієнтам Trezor та Ledger, які направляли отримувачів на фішингові веб-сайти за допомогою QR-кодів.
У листах одержувачам повідомлялося, що їм потрібно завершити автентифікацію або перевірку транзакції, і намагалися створити відчуття терміновості, попереджаючи про можливі проблеми з функціоналом гаманця. Пов'язані фішингові сторінки запитували 12-, 20- або 24-слівні фрази відновлення, що дало б зловмисникам контроль над гаманцем після їх введення.
Фізичні листи викликають особливе занепокоєння, коли зловмисники вже володіють поштовими даними жертви. Фішингова кампанія Ledger у квітні 2025 року також включала шахрайські листи з брендуванням Ledger, адресою компанії та індивідуальними довідковими номерами.
Одержувачам у цій кампанії було наказано сканувати QR-код та надати свою 24-слівну фразу відновлення під приводом того, що потрібне критичне оновлення безпеки.
Trezor порадив клієнтам, постраждалим від витоку даних ShipMonk, ставитися до повідомлень, що вимагають негайних дій або персональної інформації, з підозрою. Він також порадив користувачам перевіряти повідомлення за офіційними комунікаціями компанії та ніколи не надавати резервну копію гаманця через веб-сайт або іншій особі.
Trezor вже мав справу з розкриттям інформації про клієнтів через сторонні сервіси, хоча компанія заявила, що інцидент з ShipMonk був першим, що включав витік номерів телефонів та адрес доставки.
У січні 2024 року несанкціонована сторона отримала доступ до стороннього порталу підтримки заявок, який використовував Trezor, потенційно розкривши контактну інформацію близько 66 000 клієнтів, які взаємодіяли зі службою підтримки з кінця 2021 року.
Компанія повідомила постраждалих осіб на той час і заявила, що цифрові активи не були скомпрометовані. Інцидент стосувався зовнішньої системи підтримки, а не апаратних гаманців Trezor.
Ще один фішинговий метод з'явився у червні 2025 року, коли зловмисники зловжили контактною формою Trezor, надсилаючи запити в службу підтримки з використанням електронних адрес цільових користувачів. Цей процес запускав легітимні автоматичні відповіді від системи Trezor, що робило отримані фішингові повідомлення більш правдоподібними.
Trezor тоді заявив, що його інфраструктура електронної пошти не була зламана, а контактна форма залишалася безпечною. Натомість зловмисники експлуатували робочий процес підтримки, щоб шахрайські повідомлення виглядали пов'язаними з легітимною кореспонденцією.
Безпека апаратного забезпечення окремо залишалася під пильною увагою. У червні Trezor та Tropic Square розкрили недолік чіпа, що впливає на Безпечний елемент TROPIC01, який використовується в Trezor Safe 7, після того, як дослідники з Ledger Donjon виявили цю слабкість під час незалежного аудиту.
Ledger Donjon використовував лазерну ін'єкцію збою в лабораторних умовах для вилучення деяких секретів чіпа та обходу перевірок підпису прошивки. Trezor заявив, що атака вимагала фізичного доступу та спеціалізованого обладнання, тоді як два інші незалежні рівні безпеки продовжували захищати доступ до гаманця. Користувачам не потрібно було вживати жодних дій.
Інцидент з ShipMonk, у порівнянні, стосувався інформації про замовлення, що зберігалася постачальником послуг виконання, а не апаратного або програмного забезпечення, відповідального за забезпечення приватних ключів.
Після останнього розкриття інформації Trezor також деталізував способи, за допомогою яких клієнти можуть зменшити обсяг персональної інформації, пов'язаної з майбутніми покупками апаратних гаманців.
Компанія рекомендувала використовувати електронну адресу, яка не пов'язана з основною ідентифікацією клієнта, і запропонувала криптовалютні платежі як альтернативу кредитним карткам. Де це можливо, клієнти також можуть використовувати абонентську скриньку, щоб зменшити розкриття своєї домашньої адреси, хоча вимоги до ідентифікації та записи поштових служб все ще можуть застосовуватися.
Trezor також готує послугу анонімної доставки (Anonymous Delivery), розроблену для зменшення обсягу інформації про клієнтів, що зберігається під час відправлень апаратних гаманців.
Відповідно до запланованої системи, замовлення використовуватимуть спеціальний процес оформлення замовлення, отримання в поштоматі, нейтральну упаковку та загальну інформацію про відправника. Ідентифікатори доставки потім будуть автоматично видалені після доставки.
Trezor заявив, що планує зробити анонімну доставку доступною в Європейському Союзі до вересня 2026 року, а потім запустити її в США до кінця 2026 року.
