Hardware-cryptogeld-fabrikant Trezor heeft donderdag gewaarschuwd voor een verhoogd phishingrisico na een datalek bij derde-partij-logistieke dienstverlener ShipMonk, waardoor de persoonlijke gegevens van 13.689 klanten zijn blootgesteld. De gecompromitteerde gegevens omvatten namen, adressen, telefoonnummers en e-mailadressen.

Het bedrijf verklaarde dat er geen bewijs is dat portefeuille-back-ups, cryptogelden of de interne systemen van Trezor zijn gecompromitteerd. Trezor waarschuwde echter dat de gelekte klantgegevens kunnen worden gebruikt om overtuigendere phishing-scams te creëren die zich richten op getroffen personen.

Details van het datalek

ShipMonk informeerde Trezor op 10 augustus 2026 dat een onbevoegde actor toegang had gekregen tot systemen met klantgegevens. ShipMonk, een in de VS gevestigde e-commerce-fulfilmentprovider, verzorgt logistieke diensten voor Trezor, waaronder productopslag en -verzending in meerdere markten.

Van de 13.689 getroffen klanten hadden er 11.742 hun volledige namen, e-mailadressen, telefoonnummers en verzendadressen blootgesteld. De overige 1.947 klanten hadden gedeeltelijke informatie gecompromitteerd, waaronder namen, stadsnamen en e-mailadressen. Trezor werkt nog steeds samen met ShipMonk om het exacte blootstellingsvenster voor deze 1.947 klanten te bepalen.

De getroffen records betroffen voornamelijk bestellingen van nieuwe klanten die tussen 10 mei en 8 augustus 2026 waren geplaatst en werden verzonden naar de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilië, Italië en Portugal.

Trezor deelde het nieuws publiekelijk via zijn officiële X-account:

We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…

— Trezor (@Trezor) August 13, 2026

https://x.com/Trezor/status/2087885428313543059

Bewaartermijn voor gegevens en klantenmelding

Trezor verklaarde dat zijn bewaarbeleid van 90 dagen met logistieke partners heeft geholpen de omvang van het incident te beperken, aangezien oudere bestelinformatie al was verwijderd of geanonimiseerd.

Getroffen klanten werden individueel op de hoogte gesteld via e-mail van help@trezor.io. Klanten die geen melding hebben ontvangen, zijn niet getroffen, aldus het bedrijf.

Geen compromittering van Trezor-systemen of -portefeuilles

Trezor bevestigde dat er geen aanwijzingen zijn dat zijn interne systemen, hardware-portefeuilles of portefeuille-back-ups zijn gecompromitteerd. Het bedrijf herhaalde dat klanten hun portefeuille-back-up nooit online moeten invoeren of met niemand moeten delen.

Het belangrijkste risico voortvloeiend uit het datalek komt voort uit de blootgestelde persoonlijke gegevens, die kunnen worden gebruikt om Trezor na te bootsen of overtuigender frauduleuze communicatie te creëren.

Phishingrisico door blootgestelde gegevens

Namen, telefoonnummers, e-mailadressen en verzendgegevens kunnen aanvallers contextuele informatie bieden voor gerichte phishingcampagnes. Een bericht dat verwijst naar de naam van een klant, een recente Trezor-aankoop of leveringsgegevens kan geloofwaardiger lijken dan een algemene scam.

Aanvallers kunnen vervolgens proberen slachtoffers te overtuigen om gevoelige informatie vrij te geven, op kwaadaardige links te klikken of hun portefeuille-back-up te onthullen. Trezor-gebruikers wordt geadviseerd bijzonder voorzichtig te zijn met ongevraagde berichten die beweren betrekking te hebben op portefeuillebeveiliging, accountproblemen, terugbetalingen, leveringen of andere urgente zaken.

Trezors reactie en geplande maatregelen

Trezor omschreef het incident als het eerste datalek sinds de oprichting in 2013 waarbij klanttelefoonnummers en verzendadressen werden blootgesteld, en het bedrijf bood zijn excuses aan aan getroffen gebruikers.

Het bedrijf is van plan een Anonieme Bezorgoptie te introduceren met een speciale afrekenfunctie, afhalen bij lockers, neutrale verpakking en automatische verwijdering van verzendidentificaties. Trezor streeft ernaar de dienst in de EU uit te rollen tegen september 2026 en in de VS tegen het einde van 2026.

Geschiedenis van incidenten bij derde partijen

Het ShipMonk-datalek volgt op eerdere beveiligingsincidenten bij derde-partij-dienstverleners van Trezor. In januari 2024 blootstelde onbevoegde toegang tot het derde-partij-ondersteuningsportaal van Trezor mogelijk de namen en e-mailadressen van ongeveer 66.000 gebruikers. Een afzonderlijk Mailchimp-datalek in 2022 trof ook Trezor-klanten en werd gevolgd door phishingcampagnes gericht op cryptocurrency-gebruikers.

Andere fabrikanten van hardware-portefeuilles hebben soortgelijke incidenten meegemaakt. Ledger leed in 2020 onder een groot datalek dat meer dan 1 miljoen e-mailadressen en honderdduizenden klantgegevens blootstelde, waarvan sommige vervolgens werden gebruikt in cryptocurrency-scams.

Brede beveiligingsimplicaties

Deze incidenten benadrukken een bredere beveiligingsuitdaging voor gebruikers van hardware-portefeuilles: aanvallers hoeven niet noodzakelijkerwijs toegang te hebben tot een portefeuille of de cryptografische sleutels ervan om de eigenaar te targeten. Persoonlijke informatie die via een derde-partij-datalek is verkregen, kan voldoende zijn om een scam geloofwaardig te laten lijken. Het terugkerende patroon van blootstellingen aan de kant van leveranciers in de hardware-portefeuille-industrie onderstreept ook dat self-custody-oplossingen, hoewel ze privésleutels beschermen, nog steeds afhankelijk zijn van fysieke toeleveringsketens en dienstverleners die gegevensoppervlakken creëren buiten de portefeuille zelf. Getroffen klanten in EU-lidstaten en andere rechtsgebieden met wetgeving voor gegevensbescherming kunnen aanvullende rechten hebben met betrekking tot hun blootgestelde persoonlijke gegevens.