Wyciek danych Trezora obejmuje dodatkowe 67 000 klientów z USA
Najważniejsze informacje
- •Wyciek danych Trezora obejmuje obecnie dodatkowe 67 000 klientów z USA, którzy składali zamówienia między listopadem 2019 a sierpniem 2021 roku — więcej niż pierwotnie szacowane 14 000 użytkowników.
- •Ujawnione informacje obejmują imiona i nazwiska, adresy e-mail, numery telefonów, adresy wysyłki i szczegóły zamówień, co według Trezora wynikło z niezgodnego z pisemnymi zapewnieniami niezgodnego usunięcia danych przez dostawcę ShipMonk.
- •Własne systemy Trezora nie zostały naruszone, ale atakujący mogą wykorzystać ujawnione dane, by podszywać się pod firmę w próbach phishingu zmierzających do wykradnięcia fraz seed użytkowników.
- •Według firmy zajmującej się bezpieczeństwem blockchaina Hacken oszustwa phishingowe i socjotechniczne odpowiadały za 306 z 482 milionów dolarów strat branży krypto w pierwszym kwartale.
- •Dostawcy zewnętrzni, tacy jak firmy wysyłkowe i narzędzia obsługi klienta, wielokrotnie stawali się słabymi punktami bezpieczeństwa danych firm krypto.
Skutki wycieku danych dostawcy portfeli sprzętowych Trezora okazały się większe niż początkowo szacowano — objęły dodatkowo 67 000 klientów z USA.
W piątkowym wpisie na X Trezor podał, że wyciek może zagrażać większej liczbie użytkowników z USA, którzy składali zamówienia między listopadem 2019 a sierpniem 2021 roku, powołując się na najnowszą aktualizację od swojego dostawcy usług wysyłkowych, ShipMonk.
Dane osobowe poszkodowanych klientów zostały w pełni ujawnione, w tym imiona i nazwiska, adresy e-mail, numery telefonów, adresy wysyłki oraz szczegóły zamówień. Trezor wini dostawcę usług wysyłkowych za niezgodę usunięcie danych z tych zamówień, mimo że — jak twierdzi — otrzymał od ShipMonk pisemne zapewnienia.
Chociaż własne systemy Trezora nie zostały naruszone, wyciek może zagrażać zasobom cyfrowym 67 000 klientów. Atakujący mogą wykorzystać ujawnione informacje do przeprowadzenia ataków phishingowych podszywając się pod Trezora, w celu wykradnięcia fraz seed użytkowników, które kontrolują ich portfele. Portfele sprzętowe, takie jak produkty Trezora, są zaprojektowane tak, aby przechowywać klucze prywatne w trybie offline właśnie w celu ochrony przed zdalnym przejęciem, ale ta ochrona nie obejmuje sytuacji, gdy użytkownik dobrowolnie przekazuje swoją frazę odzyskiwania osobie podszywającej się pod producenta — dlatego wycieki danych tego typu są szczególnie cenne dla oszustów stosujących socjotechnikę, którzy mogą tworzyć przekonujące, spersonalizowane wiadomości odwołujące się do prawdziwych szczegółów zamówień.
W sierpniu Trezor początkowo szacował, że przez dostawcę usług wysyłkowych ujawniono dane jedynie 14 000 użytkowników. Osobno, w styczniu 2024 roku Trezor zgłosił, że około 66 000 użytkowników było narażonych na ataki phishingowe, jeśli kontaktowali się z zespołem wsparcia firmy od grudnia 2021 roku. Przypadek nie jest wyjątkowy dla Trezora: dostawcy zewnętrzni, tacy jak firmy wysyłkowe, platformy marketingowe i narzędzia do obsługi klienta, wielokrotnie okazywali się słabym ogniwem bezpieczeństwa danych firm krypto, ponieważ firmy mogą kontrolować własną infrastrukturę, ale zależą od umownych zapewnień partnerów zewnętrznych.
Ataki phishingowe i socjotechnika nie wymagają wykorzystywania luk w kodzie. Mimo to oszustwa oparte na podszywaniu się odpowiadały za większość strat branży krypto w pierwszym kwartale roku — 306 milionów z łącznych 482 milionów dolarów strat, według firmy zajmującej się bezpieczeństwem blockchaina, Hacken.
W lipcu inwestor krypto stracił prawie 1 milion dolarów po podpisaniu złośliwej transakcji zatwierdzenia tokena phishingowego w sieci Ethereum.
