De gevolgen van het datalek bij hardwarewallet-aanbieder Trezor blijken groter dan aanvankelijk werd ingeschat en strekken zich nu uit tot 67.000 extra Amerikaanse klanten.

In een X-bericht van vrijdag zei Trezor dat hetlek mogelijk meer Amerikaanse gebruikers in gevaar brengt die tussen november 2019 en augustus 2021 een bestelling plaatsten, met verwijzing naar de laatste update van zijn verzendpartner ShipMonk.

Van de getroffen klanten werden alle gegevens blootgelegd, waaronder namen, e-mailadressen, telefoonnummers, verzendadressen en ordergegevens. Trezor gaf de verzendpartner de schuld voor het niet verwijderen van de gegevens van deze bestellingen, ondanks schriftelijke toezeggingen van ShipMonk.

Hoewel de eigen systemen van Trezor niet werden gecompromitteerd, kan het lek de digitale bezittingen van de 67.000 klanten in gevaar brengen. Aanvallers zouden de gelekte informatie kunnen gebruiken voor phishingaanvallen waarbij ze zich voordoen als Trezor, in een poging de seed phrases van gebruikers te stelen, die hun wallets beheren. Hardwarewallets zoals die van Trezor zijn juist ontworpen om privésleutels offline te houden en zo te beschermen tegen gecompromitteerde systemen op afstand, maar die bescherming geldt niet wanneer een gebruiker zijn herstelzin vrijwillig overdraagt aan iemand die zich voordoet als de fabrikant — precies daarom zijn dit soort datalekken bijzonder waardevol voor social engineering-oplichters, die overtuigende, gepersonaliseerde berichten kunnen opstellen met verwijzing naar echte ordergegevens.

In augustus schatte Trezor aanvankelijk dat slechts 14.000 gebruikers via de verzendpartner blootgesteld waren. Apart daarvan meldde Trezor in januari 2024 dat circa 66.000 gebruikers risico liepen op phishingaanvallen als ze sinds december 2021 contact hadden opgenomen met het supportteam van het bedrijf. Het voorval is niet uniek voor Trezor: externe leveranciers zoals verzendpartners, marketingplatforms en klantenservicetools zijn herhaaldelijk de zwakke schakel gebleken in de dataveiligheid van cryptobedrijven, omdat bedrijven hun eigen infrastructuur kunnen beheersen maar afhankelijk blijven van contractuele toezeggingen van externe partners.

Phishingaanvallen en social engineering vereisen geen misbruik van kwetsbaarheden in code. Desondanks veroorzaakten deze opimitatie gebaseerde scams het grootste deel van de verliezen in de cryptosector in het eerste kwartaal van dit jaar: $306 miljoen van de in totaal $482 miljoen aan verliezen, volgens blockchainbeveiligingsbedrijf Hacken.

In juli verloor een cryptobelegger bijna $1 miljoen na het ondertekenen van een kwaadaardige phishing-tokengoedkeuringstransactie op Ethereum.

Gerelateerd: Thaise zakenmannen dagen Tether voor de rechter wegens het bevriezen van $42M in $61M 'pig butchering'-zaak