Trezor poinformował, że dane około 14 000 użytkowników zostały ujawnione w wyniku naruszenia bezpieczeństwa u zewnętrznego dostawcy usług wysyłki. Producent portfeli sprzętowych podkreślił, że incydent miał źródło u partnera odpowiedzialnego za realizację zamówień i dostawy, a nie we własnej infrastrukturze portfela, urządzeniach ani oprogramowaniu.

Firma ogłosiła ujawnienie danych w publicznym oświadczeniu na X, określając je jako incydent danych związany z zewnętrznym operatorem logistycznym. Według wpisu Trezora dotknięte rekordy były obsługiwane przez dostawcę usług wysyłki i dotyczyły około 14 000 użytkowników.

O naruszeniu jako pierwszy poinformował CoinDesk, który zauważył, że ujawnienie miało źródło u partnera realizującego zamówienia, a nie w portfelach sprzętowych ani na platformach programowych Trezora.

Ujawnienie danych, a nie naruszenie portfela

Rozróżnienie między naruszeniem u dostawcy wysyłki a naruszeniem portfela ma istotne znaczenie. Incydent dotyczy rekordów związanych z zamówieniami i dostawami, co jest zasadniczo różne od bezpośredniego naruszenia aktywów portfela lub kluczy prywatnych.

Urządzenia Trezor przechowują klucze kryptograficzne offline, a firma wielokrotnie podkreślała, że środki użytkowników pozostają bezpieczne nawet w przypadku wystąpienia innych problemów. Nic w obecnym ujawnieniu nie wskazuje na to, że doszło do dostępu do kluczy na urządzeniu lub zasobów użytkowników.

Główne ryzyko dla dotkniętych użytkowników stanowi phishing i inżynieria społeczna. Gdy następuje wyciek danych osobowych, takich jak nazwiska i informacje o dostawie, sprawcy mogą tworzyć przekonujące próby podszywania się — udając Trezora lub dostawcę wysyłki, aby nakłonić odbiorców do ujawnienia fraz odzyskiwania lub zatwierdzenia złośliwych transakcji. To ryzyko jest dobrze udokumentowane w sektorze portfeli sprzętowych: konkurencyjny producent Ledger w 2020 roku padł ofiarą naruszenia danych dotyczącego około miliona klientów, po czym dotknięci użytkownicy przez lata zmagali się z uporczywymi kampaniami phishingowymi, a w niektórych przypadkach także z fizycznymi groźbami. Incydent z Ledger wykazał, że wycieki danych klientów w branży portfeli sprzętowych mogą mieć konsekwencje wykraczające daleko poza początkowy okres narażenia.

Ryzyko zewnętrznych dostawców w centrum uwagi branży krypto

Incydent uwypukla szerszą lukę w zabezpieczeniach firm krypto, które rutynowo korzystają z usług zewnętrznych dostawców w zakresie logistyki, realizacji zamówień i obsługi klienta. Nawet gdy główny produkt nie zostanie naruszony, podmioty zewnętrzne mogą okazać się najsłabszym ogniwem. Trezor i Ledger to łącznie dwie dominujące marki konsumenckich portfeli sprzętowych, co oznacza, że incydenty związane z danymi klientów w jakiejkolwiek z tych firm mają nieproporcjonalnie duże znaczenie dla całego ekosystemu samodzielnego przechowywania aktywów, w którym zaufanie do kategorii produktu stanowi fundament adopcji.

Dla marki portfeli sprzętowych, której propozycja wartości opiera się na zaufaniu i bezpieczeństwie, ujawnienie danych klientów za pośrednictwem partnera może zaszkodzić reputacji i ściągnąć kontrolę regulacyjną, niezależnie od tego, czy sama technologia portfela zadziałała zgodnie z przeznaczeniem. Informacja rozeszła się szeroko w mediach społecznościowych, a wśród udostępniających raport na X był @MerlijnTrader.

Incydent pojawia się również w momencie, gdy regulatorzy rozważają, jak nadzorować operacje kryptowalutowe, a agencje już teraz badają przepisy przy braku kompleksowego ustawodawstwa. Praktyki obchodzenia się z danymi przez strony trzecie to dokładnie taki szczegół operacyjny, który przyciąga uwagę regulatorów w przypadku incydentów.

Użytkownicy, których dane mogą być powiązane z 14 000 dotkniętych rekordów, powinni traktować nieproszony wiadomości odnoszące się do ich zamówień ze szczególną ostrożnością. Każdą komunikację należy weryfikować bezpośrednio przez oficjalne kanały Trezora, a nie przez linki przesłane w wiadomościach e-mail lub innych wiadomościach.