Trezor đã tiết lộ rằng thông tin cá nhân của 13.689 khách hàng đã bị lộ sau khi một tác nhân không được ủy quyền truy cập vào các hệ thống do nhà cung cấp dịch vụ vận chuyển ShipMonk của họ vận hành.
Trezor cho biết trong một thông báo bảo mật ngày 13 tháng 8 rằng ShipMonk đã thông báo cho nhà sản xuất ví cứng vào ngày 10 tháng 8 về việc truy cập trái phép vào các hệ thống chứa dữ liệu đơn hàng của khách hàng, và một cuộc điều tra về sự cố vẫn đang được tiến hành.
Vụ rò rỉ đã ảnh hưởng đến những khách hàng đã nhận đơn hàng Trezor từ ngày 10 tháng 5 đến ngày 8 tháng 8 tại Hoa Kỳ, Vương quốc Anh, Thụy Điển, Colombia, Brazil, Ý và Bồ Đào Nha. Trezor cho biết các hệ thống của riêng họ không bị xâm phạm và ví cứng của họ vẫn an toàn.
Trong số các khách hàng bị ảnh hưởng, 11.742 người đã bị lộ tên, địa chỉ email, số điện thoại và địa chỉ giao hàng. 1.947 khách hàng khác bị lộ một phần thông tin, bao gồm tên, thành phố và địa chỉ email của họ.
Số đơn hàng cũng nằm trong số thông tin được ShipMonk lưu giữ cho các hoạt động giao hàng, theo giải thích của Trezor về sự cố.
ShipMonk đóng vai trò là nhà cung cấp dịch vụ hậu cần lưu trữ các sản phẩm của Trezor và xử lý việc giao hàng tại Hoa Kỳ, Vương quốc Anh và một số thị trường khác. Công ty hoàn tất đơn hàng này yêu cầu tên, địa chỉ, số điện thoại và địa chỉ email của khách hàng để xử lý các chuyến hàng.
Theo Trezor, số lượng khách hàng bị lộ thông tin đã được giới hạn bởi chính sách lưu giữ dữ liệu 90 ngày của họ, mà họ cũng yêu cầu các đối tác hoàn tất đơn hàng phải tuân thủ. Thông tin khách hàng liên quan đến các đơn hàng cũ hơn đã bị xóa hoặc ẩn danh và do đó không được lưu trữ trong các hệ thống bị ảnh hưởng của ShipMonk.
Trezor cho biết thời gian 90 ngày được thiết kế để bao gồm toàn bộ quá trình đặt hàng, bao gồm giao hàng, trả hàng, hoàn tiền và thay thế sản phẩm. Sau khi thời gian này kết thúc, thông tin khách hàng liên quan đến việc mua hàng sẽ bị xóa hoặc ẩn danh vì công ty không còn cần địa chỉ hoặc số điện thoại cho mục đích hoàn tất đơn hàng nữa.
Các khách hàng bị ảnh hưởng đã được thông báo riêng qua email gửi từ [email protected]. Những khách hàng không nhận được thông báo bảo mật không bị ảnh hưởng bởi sự cố, theo công ty.
Trezor cho biết ShipMonk kể từ đó đã bảo mật các hệ thống bị ảnh hưởng và tăng cường bảo mật sau vụ rò rỉ. Cả hai công ty vẫn giữ liên lạc khi họ tìm cách xác định cách truy cập trái phép đã xảy ra và xác định thông tin chính xác đã bị truy cập.
Sự cố này đánh dấu lần đầu tiên kể từ khi Trezor được thành lập vào năm 2013 mà một vụ rò rỉ liên quan đến công ty hoặc một trong các nhà cung cấp của họ đã làm lộ số điện thoại và địa chỉ giao hàng của khách hàng.
"Chúng tôi hoàn toàn hiểu mức độ nghiêm trọng của vấn đề này và những rủi ro tiềm ẩn mà nó gây ra cho khách hàng của chúng tôi và chúng tôi vô cùng xin lỗi những người bị ảnh hưởng," Trezor nói.
Mặc dù các thiết bị ví và cơ sở hạ tầng của Trezor không bị ảnh hưởng, công ty cảnh báo rằng thông tin cá nhân bị lộ có thể được sử dụng để tạo ra các nỗ lực lừa đảo (phishing) thuyết phục hơn.
Kẻ tấn công có thể sử dụng tên, số điện thoại, email hoặc địa chỉ nhà của khách hàng để mạo danh Trezor, một sàn giao dịch tiền điện tử hoặc một ngân hàng. Công ty cho biết các phương thức lừa đảo có thể đến qua email, cuộc gọi điện thoại hoặc thư vật lý.
Các cuộc tấn công như vậy trước đây đã nhắm mục tiêu vào chủ sở hữu ví cứng bằng cách sử dụng thông tin cá nhân và các thông tin liên lạc có vẻ chính thức. Vào tháng 2, crypto.news đã báo cáo về các lá thư giả mạo được gửi đến khách hàng của Trezor và Ledger, hướng người nhận đến các trang web lừa đảo thông qua mã QR.
Các lá thư này yêu cầu người nhận hoàn tất một xác thực hoặc kiểm tra giao dịch và cố gắng tạo ra sự khẩn cấp bằng cách cảnh báo về các vấn đề có thể xảy ra với chức năng ví. Các trang lừa đảo được liên kết yêu cầu cụm từ khôi phục 12, 20 hoặc 24 từ, điều này sẽ trao quyền kiểm soát ví cho kẻ tấn công sau khi được gửi.
Thư vật lý đặt ra một mối lo ngại đặc biệt khi kẻ tấn công đã có chi tiết gửi thư của nạn nhân. Một chiến dịch lừa đảo Ledger vào tháng 4 năm 2025 cũng tương tự liên quan đến các lá thư giả mạo mang nhãn hiệu Ledger, địa chỉ doanh nghiệp và số tham chiếu cá nhân.
Người nhận trong chiến dịch đó đã được hướng dẫn quét mã QR và cung cấp cụm từ khôi phục 24 từ của họ với tuyên bố rằng cần có một bản cập nhật bảo mật quan trọng.
Trezor đã khuyên khách hàng bị ảnh hưởng bởi vụ rò rỉ ShipMonk nên thận trọng với các thông tin liên lạc yêu cầu hành động ngay lập tức hoặc thông tin cá nhân. Công ty cũng khuyên người dùng nên xác minh các tin nhắn so với các thông tin liên lạc chính thức của họ và không bao giờ cung cấp bản sao lưu ví thông qua một trang web hoặc cho người khác.
Trezor đã xử lý việc lộ thông tin khách hàng thông qua các dịch vụ bên thứ ba trước đây, mặc dù công ty cho biết sự cố ShipMonk là lần đầu tiên liên quan đến việc rò rỉ số điện thoại và địa chỉ giao hàng.
Vào tháng 1 năm 2024, một bên không được ủy quyền đã truy cập vào một cổng thông tin hỗ trợ bên thứ ba được Trezor sử dụng, có khả năng làm lộ thông tin liên hệ của khoảng 66.000 khách hàng đã tương tác với đội ngũ hỗ trợ kể từ cuối năm 2021.
Công ty đã thông báo cho các liên hệ bị ảnh hưởng vào thời điểm đó và cho biết tài sản kỹ thuật số không bị xâm phạm. Sự cố này liên quan đến hệ thống hỗ trợ bên ngoài chứ không phải ví cứng Trezor.
Một phương pháp lừa đảo khác xuất hiện vào tháng 6 năm 2025 khi kẻ tấn công lạm dụng biểu mẫu liên hệ của Trezor bằng cách gửi yêu cầu hỗ trợ sử dụng địa chỉ email của người dùng mục tiêu. Quá trình này đã kích hoạt các phản hồi tự động hợp pháp từ hệ thống của Trezor, khiến các thông tin liên lạc lừa đảo sau đó có vẻ đáng tin cậy hơn.
Trezor cho biết vào thời điểm đó rằng cơ sở hạ tầng email của họ không bị xâm phạm và biểu mẫu liên hệ vẫn an toàn. Thay vào đó, kẻ tấn công đã khai thác quy trình làm việc hỗ trợ để làm cho các tin nhắn gian lận xuất hiện có vẻ liên quan đến thư từ hợp pháp.
Bảo mật phần cứng cũng đã được xem xét riêng. Vào tháng 6, Trezor và Tropic Square đã tiết lộ một lỗ hổng chip ảnh hưởng đến Phần tử Bảo mật TROPIC01 được sử dụng trong Trezor Safe 7 sau khi các nhà nghiên cứu từ Ledger Donjon tìm thấy điểm yếu trong một cuộc kiểm toán độc lập.
Ledger Donjon đã sử dụng kỹ thuật tiêm lỗi laser trong điều kiện phòng thí nghiệm để trích xuất một số bí mật chip và bỏ qua kiểm tra chữ ký phần sụn. Trezor cho biết cuộc tấn công yêu cầu quyền truy cập vật lý và thiết bị chuyên dụng, trong khi hai lớp bảo mật độc lập khác vẫn tiếp tục bảo vệ quyền truy cập vào ví. Người dùng không được yêu cầu thực hiện hành động nào.
Sự cố ShipMonk, so với đó, liên quan đến thông tin đơn hàng được lưu giữ bởi nhà cung cấp dịch vụ hoàn tất đơn hàng chứ không phải phần cứng hoặc phần mềm chịu trách nhiệm bảo mật khóa riêng.
Sau tiết lộ mới nhất, Trezor cũng đã nêu chi tiết các cách khách hàng có thể giảm lượng thông tin cá nhân liên quan đến việc mua ví cứng trong tương lai.
Công ty khuyến nghị sử dụng một địa chỉ email không liên kết với danh tính chính của khách hàng và đề xuất thanh toán bằng tiền điện tử như một giải pháp thay thế cho thẻ tín dụng. Nơi có sẵn, khách hàng cũng có thể sử dụng hộp thư bưu điện (P.O. Box) để giảm việc lộ địa chỉ nhà, mặc dù các yêu cầu nhận dạng và hồ sơ dịch vụ bưu chính vẫn có thể áp dụng.
Trezor cũng đang chuẩn bị một dịch vụ Giao hàng Ẩn danh được thiết kế để giảm thông tin khách hàng được lưu giữ trong quá trình vận chuyển ví cứng.
Theo hệ thống được lên kế hoạch, các đơn hàng sẽ sử dụng một quy trình thanh toán chuyên dụng, thu tại tủ khóa, bao bì trung tính và thông tin người gửi chung chung. Các mã định danh vận chuyển sau đó sẽ tự động bị xóa sau khi giao hàng.
Trezor cho biết họ có kế hoạch cung cấp Dịch vụ Giao hàng Ẩn danh tại Liên minh Châu Âu vào tháng 9 năm 2026, sau đó là triển khai tại Hoa Kỳ vào cuối năm 2026.
