W komunikacie opublikowanym w piątek Trezor ujawnił, że wyciek danych pochodzących od jego partnera logistycznego, ShipMonk, okazał się znacznie poważniejszy, niż sądzono. Ujawnione zostały dane osobowe dodatkowych 67 000 użytkowników z USA — w tym imiona i nazwiska, adresy, numery telefonów, adresy e-mail oraz dane zamówień — co podniosło łączną liczbę poszkodowanych do 80 700 i wystawiło posiadaczy portfeli Trezor na ryzyko.

Nowo zidentyfikowana partia danych obejmuje zamówienia składane przez klientów z USA między listopadem 2019 a sierpniem 2021 roku, jak Trezor ogłosił w piątek w wpisie na X. Część tych informacji ma niemal siedem lat. Ten szczegół ma znaczenie: gdy Trezor ogłaszał wyciek w sierpniu, polityka usuwania danych po 90 dniach, stosowana przez partnera realizującego zamówienia, została przedstawiona jako czynnik ograniczający liczbę poszkodowanych użytkowników.

Sprawa uwidacznia szersze ryzyko w branży portfeli sprzętowych: nawet gdy bezpieczeństwo samego producenta nie zostało naruszone, outsourcing realizacji zamówień i obsługi klienta wprowadza strony trzecie, które przechowują wrażliwe dane klientów. Trezor, podobnie jak konkurencyjny Ledger, korzysta z zewnętrznych operatorów logistycznych do wysyłki urządzeń na całym świecie, co oznacza, że prywatność klientów zależy częściowo od partnerów, których praktyk retencji danych nie kontrolują bezpośrednio.

Liczba poszkodowanych użytkowników Trezor rośnie do 80 700

Trezor wyjaśnił, że wielokrotnie prosił ShipMonk o dokumentację potwierdzającą usunięcie danych zamówień starszych niż 90 dni. Za każdym razem otrzymywał odpowiedzi twierdzące. Jak teraz podaje firma, dokumenty te okazały się nieprawdziwe — według doniesień Trezor jednoznacznie obarczył winą dostawcę usług wysyłki za przechowywanie danych, które obiecał usunąć.

Nowe dane znacznie przekraczają wcześniejsze szacunki. W sierpniu Trezor szacował skalę wycieku na około 14 000 osób. ShipMonk przekazał jednak Trezorowi zaktualizowane ustalenia dwa dni przed piątkowym ujawnieniem, podnosząc liczbę poszkodowanych do około 80 700 użytkowników.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor zaznaczył, że jego własne systemy nie zostały naruszone. Żadne urządzenia, klucze prywatne ani kopie zapasowe portfeli nie zostały ujawnione, ponieważ wyciek nastąpił wyłącznie po stronie logistycznej. Naruszeniu uległy jednak dane kontaktowe klientów i informacje o wysyłkach. Incydent pokazuje zarazem ograniczenia zapewnień dostawców: umowne polityki usuwania danych i potwierdzająca je dokumentacja okazały się same w sobie niewystarczające, aby zagwarantować faktyczne usunięcie danych — wyzwanie, które wykracza daleko poza branżę kryptowalut i dotyczy każdej firmy powierzającej dane klientów zewnętrznym podmiotom przetwarzającym.

Jak lista mailingowa staje się bronią

Główne niebezpieczeństwo tkwi w ukierunkowaniu ataków. Wyciek listy mailingowej zweryfikowanych właścicieli portfeli sprzętowych — wraz z ich adresami zamieszkania — pozwala atakującym ścigać konkretne osoby próbami phishingu drogą e-mailową, telefoniczną, a nawet tradycyjną pocztą. Trezor poradził poszkodowanym użytkownikom czujność wobec takich prób i zwrócił uwagę na zagrożenie dla bezpieczeństwa osobistego. Ponieważ portfele sprzętowe są promowane jako sposób na samodzielne przechowywanie znacznych zasobów kryptowalut, lista ich nabywców jest w praktyce listą osób prawdopodobnie posiadających aktywa cyfrowe, co podnosi stawki w porównaniu ze zwykłą listą retailową.

To zagrożenie jest już realne. W lutym właściciele portfeli Trezor i Ledger otrzymywali sfałszowane listy drukowane z hologramami, kodami QR, a nawet podrobionymi podpisami zarządu, nakłaniające ich do przeprowadzenia fałszywego testu bezpieczeństwa pod groźbą zablokowania kont. Ekspert ds. cyberbezpieczeństwa David Sehyeon Baek zauważył, że sfałszowany list dostarczony na prawdziwe imię i nazwisko oraz adres zmienia psychologię oszustwa.

Skala problemu phishingu

Oszustwo polegające na podszywaniu się nie wymaga luki technicznej, aby opróżnić portfel użytkownika. Takie schematy już dominują w statystykach strat w kryptowalutach: firma badawcza Hacken specjalizująca się w cyberbezpieczeństwie blockchain ustaliła, że phishing i oszustwa oparte na inżynierii społecznej stanowiły 306 milionów dolarów z łącznych 482 milionów dolarów skradzionych w pierwszym kwartale roku. W lipcu jeden z inwestorów stracił prawie 1 milion dolarów, zatwierdzając złośliwą transakcję tokenową w sieci Ethereum.

Nie jest to również pierwszy przypadek naruszenia u Trezor związanego z ujawnieniem danych kontaktowych użytkowników. W styczniu 2024 roku firma ujawniła, że około 66 000 klientów, którzy od grudnia 2021 roku kontaktowali się z jej działem wsparcia, zostało wystawionych na próby phishingu. Przy obecnej liczbie poszkodowanych — kilkukrotnie większej — klienci, którzy zamówili urządzenie Trezor między końcem 2019 a połową 2021 roku, mogą jeszcze przez pewien czas napotykać ukierunkowane próby oszustw (e-mail, telefon, poczta), a dalsze aktualizacje od Trezor lub ShipMonk dotyczące ostatecznego zakresu błędu w retencji danych pozostają możliwe, zważywszy na to, że liczby zostały już raz zrewidowane w górę.