La violazione dei dati di Trezor si estende ad altri 67.000 clienti statunitensi
Punti chiave
- •La violazione dei dati di Trezor interessa ora altri 67.000 clienti statunitensi che hanno ordinato tra novembre 2019 e agosto 2021, in aumento rispetto alla stima iniziale di 14.000 utenti.
- •Le informazioni esposte includono nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e dettagli degli ordini, che secondo Trezor derivano dal mancato abbattimento dei dati da parte del fornitore di spedizioni ShipMonk, nonostante rassicurazioni scritte.
- •I sistemi di Trezor non sono stati compromessi, ma gli aggressori potrebbero utilizzare i dati esposti per impersonare l'azienda in tentativi di phishing volti a rubare le seed phrase degli utenti.
- •Secondo la società di sicurezza blockchain Hacken, le truffe di phishing e ingegneria sociale hanno rappresentato 306 milioni dei 482 milioni di dollari di perdite del settore crypto nel primo trimestre.
- •Fornitori terzi come provider di spedizioni e strumenti di assistenza clienti sono diventati ripetutamente punti deboli nella sicurezza dei dati delle aziende crypto.
Le conseguenze della violazione dei dati del provider di hardware wallet Trezor si sono rivelate più vaste delle stime iniziali, estendendosi ora ad altri 67.000 clienti statunitensi.
In un post su X pubblicato venerdì, Trezor ha dichiarato che la violazione potrebbe mettere a rischio altri utenti statunitensi che hanno effettuato ordini tra novembre 2019 e agosto 2021, citando l'ultimo aggiornamento del proprio fornitore di spedizioni, ShipMonk.
I clienti interessati hanno visto esposti i propri dati completi, tra cui nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e dettagli degli ordini. Trezor ha attribuito la responsabilità al fornitore di spedizioni per non aver eliminato i dati relativi a questi ordini, pur avendo ricevuto rassicurazioni scritte da ShipMonk.
Sebbene i sistemi di Trezor non siano stati compromessi, la violazione potrebbe minacciare i patrimoni in asset digitali dei 67.000 clienti. Gli aggressori potrebbero utilizzare le informazioni esposte per lanciare attacchi di phishing che impersonano Trezor, nel tentativo di rubare le seed phrase degli utenti, che controllano i loro wallet. Gli hardware wallet come quelli di Trezor sono progettati proprio per mantenere le chiavi private offline e proteggersi dalla compromissione remota, ma tale protezione non si estende a un utente che consegna volontariamente la propria frase di recupero a qualcuno che si spaccia per il produttore — ecco perché le fughe di dati di questo tipo sono particolarmente preziose per i truffatori che usano l'ingegneria sociale, in grado di creare messaggi convincenti e personalizzati che richiamano dettagli reali degli ordini.
Ad agosto, Trezor aveva inizialmente stimato che solo 14.000 utenti avessero subito l'esposizione dei propri dati attraverso il fornitore di spedizioni. Separatamente, Trezor aveva riferito a gennaio 2024 che circa 66.000 utenti erano a rischio di attacchi di phishing se avevano contattato il team di supporto dell'azienda da dicembre 2021. L'episodio non è esclusivo di Trezor: fornitori terzi come provider di spedizioni, piattaforme di marketing e strumenti di assistenza clienti sono diventati ripetutamente l'anello debole nella sicurezza dei dati delle aziende crypto, poiché le società possono controllare la propria infrastruttura ma dipendono da garanzie contrattuali da parte di partner esterni.
Gli attacchi di phishing e l'ingegneria sociale non richiedono lo sfruttamento di vulnerabilità del codice. Ciononostante, queste truffe basate sull'impersonazione hanno guidato la maggior parte delle perdite del settore crypto nel primo trimestre dell'anno, rappresentando 306 milioni di dollari sui 482 milioni totali persi, secondo la società di sicurezza blockchain Hacken.
A luglio, un investitore crypto ha perso quasi 1 milione di dollari dopo aver firmato una transazione malevola di approvazione token tramite phishing su Ethereum.
