Producent sprzętowych portfeli Trezor ujawnił, że wyciek danych po raz pierwszy ogłoszony w zeszłym miesiącu jest poważniejszy, niż początkowo podano.

Zlokalizowana w Pradze w Czechach firma powiedziała w piątek, że dodatkowe 67 000 klientów z USA miało ujawnione imiona, adresy e-mail, numery telefonów, adresy dostawy i numery zamówień. Według Trezora wykradzione dane pochodziły z zamówień złożonych między listopadem 2019 a sierpniem 2021 roku. Kolejnym 1 947 klientom ujawnione zostały wyłącznie imiona, miasta i adresy e-mail.

Trezor początkowo ogłosił w sierpniu, że dane 11 742 klientów z USA, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoch i Portugalii zostały ujawnione — wraz z imionami, adresami e-mail, numerami telefonów i adresami dostawy.

We wpisie na platformie X firma oświadczyła:

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

W piątkowym oświadczeniu Trezor powiedział, że jego partner realizacyjny ShipMonk fałszywie upewniał firmę, że dane klientów zostały usunięte.

„Przez cały okres naszej współpracy z ShipMonk wielokrotnie prosiliśmy i otrzymywaliśmy pisemne potwierdzenia usunięcia danych, zgodnie z naszym kontraktem, polityką danych i dotychczasową komunikacją” — napisał Trezor. „Jesteśmy bardzo rozczarowani, że mimo otrzymania tego potwierdzenia dane nie zostały usunięte z ich systemów”.

Incydent uwypukla szerszy problem strukturalny w branży sprzętowych portfeli: choć portfele sprzętowe są zaprojektowane tak, aby klucze prywatne pozostawały offline, proces zakupu zazwyczaj przebiega przez platformy e-commerce, operatorów płatności i dostawców wysyłki, którzy przechowują dane osobowe klientów. Oznacza to, że kryptoaktywa klienta mogą pozostać bezpieczne na urządzeniu, podczas gdy jego tożsamość i dane kontaktowe są narażone poprzez zewnętrzną infrastrukturę pozostającą poza bezpośrednią kontrolą producenta portfela.

Ani Trezor, ani ShipMonk nie odpowiedzieli natychmiast na pytania Bitcoin Magazine.

Gdy Trezor po raz pierwszy ujawnił incydent w sierpniu, podał, że dane wyciekły, ponieważ ShipMonk doświadczył „nieautoryzowanego dostępu do ich systemów zawierających dane klientów”. Firma dodała, że bezpośrednio wysłała e-maile do wszystkich klientów objętych wyciekiem. Firma matka Trezora, SatoshiLabs, powiedziała Bitcoin Magazine w zeszłym miesiącu, że bada incydent.

Trezor to jeden z najpopularniejszych rozwiązań sprzętowych portfeli Bitcoin, wspierający także przechowywanie innych kryptowalut.

Dane osobowe bitcoinowców były już w przeszłości celem cyberprzestępców, a wykradzione rekordy klientów historycznie służyły do atakowania posiadaczy sprzętowych portfeli. Po wycieku z 2020 roku u konkurencyjnego Ledgera poszkodowani klienci otrzymywali groźby SMS-owe i próby phishingu odwołujące się do ich adresów zamieszkania. W tamtym incydencie nieautoryzowana strona uzyskała dostęp do bazy e-commerce i marketingowej Ledgera, ujawniając ponad 1 milion adresów e-mail oraz dane kontaktowe prawie 10 000 klientów. Na początku tego roku klienci zgłaszali otrzymywanie e-maili od Global-e, partnera płatnościowego Ledgera, informujących, że wyciek w ich systemach chmurowych ujawnił wrażliwe dane klientów.