Naruszenie danych w firmie ShipMonk, zewnętrznym podmiocie logistycznym obsługującym realizację zamówień producenta portfeli sprzętowych Trezor, ujawniło informacje związane z 13 689 kupującymi urządzenia Trezor — w tym 11 742 adresy dostawy — narażając na ryzyko dane osobowe właścicieli portfeli sprzętowych.

Co wydarzyło się w naruszeniu danych w ShipMonk

Trezor ujawnił na X, że naruszenie danych w ShipMonk odsłoniło dane klientów należące do 13 689 kupujących urządzenia Trezor. Zgodnie z relacją BleepingComputer dotyczącą tego ujawnienia incydent objął blisko 14 000 klientów.

ShipMonk działa jako dostawca usług realizacji zamówień e-commerce — duży gracz z siedzibą w Fort Lauderdale na Florydzie, obecny w modelu sprzedaży bezpośredniej do konsumentów — który magazynuje i wysyła produkty w imieniu marek internetowych. Ponieważ wysyła urządzenia Trezor do klientów, posiadał rejestry zamówień łączące kupujących z ich fizycznymi danymi wysyłkowymi. Z odsłoniętych rekordów 11 742 zawierało adresy dostawy.

Urządzenia Trezor produkuje SatoshiLabs, firma z siedzibą w Pradze, której oryginalny Trezor, wprowadzony na rynek w 2014 r., był pierwszym szeroko dostępnym kryptowalutowym portfelem sprzętowym. Ta historia jest częścią powodu, dla którego lista kupujących jest tak wrażliwa: pełni funkcję swego rodzaju katalogu osób, które mogą przechowywać środki w samodzielnej pieczy.

Dlaczego odsłonięte adresy dostawy mają znaczenie dla właścicieli portfeli

Adresy dostawy są szczególnie wrażliwe w przypadku kupujących portfele sprzętowe, ponieważ łączą rzeczywisty adres domowy z osobą, która prawdopodobnie posiada kryptowaluty w samodzielnej pieczy. To inny rodzaj narażenia niż typowy wyciek danych ze sklepu internetowego.

Kwestią zasadniczą jest prywatność w świecie fizycznym, a nie bezpieczeństwo środków. Urządzenie Trezor zabezpiecza klucze prywatne w trybie offline, dlatego naruszenie nie zagroziło samym portfelom, może jednak ujawnić, kto taki portfel posiada i gdzie mieszka.

Badacze bezpieczeństwa ostrzegali, że tego rodzaju odsłonięcie danych zwiększa ryzyko bycia celem ataków w świecie rzeczywistym. CryptoSlate zwróciło uwagę, że wyciek ujawniający dane tysięcy właścicieli urządzeń Trezor stawia na szali ich bezpieczeństwo fizyczne w obliczu nasilających się brutalnych napadów na domy osób związanych z kryptowalutami.

To tło nie jest hipotetyczne. Chainalysis udokumentowało w swoich badaniach nad tym trendem wzrost liczby brutalnych „ataków z użyciem klucza" (ang. "wrench attacks"), w których ofiary są fizycznie zmuszane do oddania kryptowalut — nazwa nawiązuje do starego motywu z dziedziny bezpieczeństwa, zapadającego w pamięć dzięki komiksowi xkcd, według którego klucz za 5 dolarów potrafi pokonać każde szyfrowanie. Osobny raport CertiK i Intel3D odnotował 33-procentowy wzrost fizycznej przestępczości kryptowalutowej w pierwszym półroczu 2026 r., a szacowane straty przekroczyły 124 mln dolarów.

Branża portfeli sprzętowych ma w tej sprawie uważnie śledzony precedens. W 2020 r. konkurencyjny producent Ledger ujawnił, że doszło do naruszenia jego bazy danych e-commerce, co odsłoniło imiona i nazwiska, numery telefonów oraz adresy korespondencyjne około 272 000 kupujących urządzenia; gdy później bazę danych upubliczniono na forum hakerskim, wywołało to miesiące kampanii phishingowych i doniesień o groźbach wobec klientów. Podobnie jak w incydencie Trezora, nie doszło do wycieku kluczy portfeli ani danych płatniczych — szkoda wynikała z samej książki adresowej.

Na co kupujący urządzenia Trezor powinni uważać w najbliższym czasie

Poszkodowani kupujący powinni z nieufnością podchodzić do niezamówionych wiadomości. Odsłonięcie danych identyfikujących klientów i ich adresów często prowadzi do następczych e-maili phishingowych, fałszywych wiadomości od wsparcia technicznego oraz prób podszywania się. Szczególnym sygnałem ostrzegawczym są wiadomości odnoszące się do naruszenia — lub nadesłane nieprościone rzekomo od „pomocy technicznej Trezor" — ponieważ atakujący rutynowo wykorzystują publiczne ujawnienia naruszeń danych, aby sprawiać wrażenie wiarygodnych.

Trezor nigdy nie poprosi o frazę odzyskiwania, a żaden legalny kanał wsparcia nigdy jej nie potrzebuje. Fraza odzyskiwania to zapasowa fraza kontrolująca dostęp do portfela sprzętowego i każdy, kto ją zdobędzie, może przejąć kontrolę nad chronionymi nią środkami. Kupujący powinni weryfikować każdą komunikację za pośrednictwem oficjalnych kanałów, a nie linków przesyłanych e-mailem lub w wiadomościach.

Naruszenie podkreśla także lukę zaufania w łańcuchu dostaw: nawet gdy własne systemy firmy są bezpieczne, dane klientów przechowywane przez zewnętrznych partnerów, takich jak ShipMonk, mogą stać się słabym ogniwem. Marki e-commerce rutynowo przekazują dane zamówień firmom realizującym zamówienia, platformom e-mailowym i dostawcom narzędzi analitycznych, a każde takie przekazanie poszerza zbiór systemów, w których może dojść do naruszenia.

Zastrzeżenie: Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Przed podjęciem decyzji zawsze przeprowadź własne badania.