Nieautoryzowana osoba trzecia uzyskała dostęp do danych klientów przechowywanych u partnera logistycznego Trezora. Naruszenie dotyczy 13 689 klientów w siedmiu krajach. W przypadku 11 742 z nich ujawnieniu uległy pełne imię i nazwisko, adres dostawy, numer telefonu oraz adres e-mail.

Trezor to marka portfeli sprzętowych należąca do czeskiej firmy SatoshiLabs, która w 2013 roku wprowadziła na rynek pierwszy szeroko dostępny sprzętowy portfel kryptowalutowy. Urządzenia przechowują klucze prywatne w trybie offline, odseparowane od internetu, co plasuje je wśród najbezpieczniejszych form samodzielnego przechowywania aktywów (self-custody). To właśnie owe nastawienie na bezpieczeństwo czyni listę klientów cenną, ponieważ każda osoba na niej znajdująca się najprawdopodobniej posiada kryptowaluty. Incydent obejmuje zamówienia z okresu od 10 maja do 8 sierpnia 2026 roku, a przesyłki trafiały do USA, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoch i Portugalii. Zaangażowanym usługodawcą jest ShipMonk – firma fulfillmentowa z siedzibą w Fort Lauderdale na Florydzie, prowadząca magazyny w Ameryce Północnej i Europie dla sprzedawców internetowych. Według firmy urządzenia, klucze prywatne i kopie zapasowe portfeli pozostały nietknięte. W odpowiedzi producent zapowiedział również opcję anonimowej wysyłki.

Co ujawniło naruszenie danych Trezora w ShipMonk

ShipMonk poinformował Trezora 11 sierpnia 2026 roku o nieautoryzowanym dostępie do systemów zawierających dane klientów. Ponieważ Trezor sprzedaje swoje urządzenia przez internet, dostawą zajmują się zewnętrzni partnerzy. Podmioty fulfillmentowe odpowiadają za magazynowanie, kompletowanie i wysyłkę, dlatego potrzebują pełnych adresów dostawy i danych kontaktowych końcowych klientów – bez tych informacji paczka nie zostanie doręczona. Właśnie ten zestaw danych został ujawniony. Dwa dni później firma upubliczniła sprawę.

Poszkodowani klienci dzielą się na dwie grupy. W przypadku 11 742 klientów ujawnienie jest pełne i obejmuje imię i nazwisko, adres dostawy, numer telefonu oraz adres e-mail. Dla kolejnych 1 947 osób ogranicza się do imienia i nazwiska, miasta oraz adresu e-mail. Obie grupy razem tworzą zgłoszone 13 689 przypadków. Nazwiska i numery telefonów umożliwiają ukierunkowane połączenia phishingowe, a adres dostawy pozwala fizycznie zlokalizować właściciela.

Według firmy dostęp nie objął ani urządzeń, ani kluczy prywatnych czy kopii zapasowych portfeli, a własne systemy Trezora również pozostały poza zasięgiem sprawcy. Ogólnie incydent uderza w warstwę logistyczną wokół produktu. Producent ograniczony zakres tłumaczy ścisłą polityką przechowywania danych przez 90 dni, która umownie obowiązuje również partnerów fulfillmentowych. Starsze dane zamówień nie istnieją już u partnera, więc wcześniejsze przesyłki znajdują się poza okresem objętym incydentem. Trezor powiadomił także każdego poszkodowanego klienta osobno e-mailem i publicznie przeprosił za incydent. Śledztwo trwa, a aktualizacje mają pojawiać się na blogu firmy.

Dlaczego lista adresów oznacza szczególne ryzyko dla posiadaczy kryptowalut

Lista nabywców portfeli sprzętowych to nie zwykła baza klientów. Każdy, kto powiąże adres domowy z zakupem Trezora, identyfikuje prawdopodobny cel, ponieważ taki nabywca najprawdopodobniej posiada większe zasoby kryptowalut.

Precedens pochodzi z 2020 roku. U konkurencyjnej, paryskiej firmy Ledger napastnicy pozyskali przez interfejs osoby trzeciej około 1,1 mln adresów e-mail. Uzyskali także około 272 000 szczegółowych rekordów zawierających pełne imię i nazwisko, numer telefonu oraz adres pocztowy. W grudniu 2020 roku te dane ostatecznie trafiły publicznie do internetu. Wkrótce potem klientów Ledgera dotknęły szeroko zakrojone kampanie phishingowe i szantażowe, w niektórych przypadkach z groźbami dla ich fizycznego bezpieczeństwa. Ledger odniósł się później do incydentu w publicznym oświadczeniu.

Krajobraz zagrożeń od tego czasu się pogorszył. Chainalysis, firma analityczna działająca w segmencie blockchain z siedzibą w Nowym Jorku, odnotowała 46 gwałtownych incydentów związanych z kryptowalutami na świecie w pierwszej połowie 2026 roku, wobec 40 rok wcześniej. Tak zwane „wrench attacks” obejmują porwania, włamania do domów i branie zakładników. Już w pierwszym półroczu sprawcy przejęli około 30 mln USD, a łącznie próbowali zdobyć 107 mln USD. Według Chainalysis oznacza to, że rok 2026 jest na dobrej drodze, by pobić rekord całego 2025 roku wynoszący 58 mln USD. Skuteczność napastników spadła jednak z 49% w 2025 roku do 26%: liczba prób rośnie, ale mniej z nich kończy się sukcesem.

Regionalnie wyróżnia się Francja. Chainalysis odnotowuje tam 30 publicznie znanych incydentów, podczas gdy władze zarejestrowały ponad 70. Firma analityczna wskazuje jako jedną z przyczyn naruszenie danych w administracji podatkowej. Wyciek pochodzi z 2024 roku i objął region paryski. Urzędnik miał podobno wykraść i sprzedać dane zamożnych posiadaczy kryptowalut, w tym imiona i nazwiska, adresy, numery telefonów i posiadane aktywa. Grupy przestępcze wykorzystywały następnie te materiały do planowania ataków, wybierając cele na podstawie zarejestrowanych zasobów. Ostatecznie droga od listy adresów do drzwi frontowych jest udokumentowana.

Anonimowa dostawa jako odpowiedź na problem adresów

Około godzinę po pierwszym komunikacie Trezor zapowiedział opcję o nazwie „Anonymous Delivery”. Celuje ona dokładnie w kategorię danych, która została ujawniona u ShipMonk. Klienci przy kasie podają najpierw pseudonim lub identyfikator etykiety zamiast swojej prawdziwej tożsamości. Przesyłka trafia następnie do automatycznej stacji paczkowej, gdzie kupujący odbierają ją samodzielnie. Automatyczne stacje paczkowe tego typu są już utrwalonym formatem dostawy w dużej części Europy. Prawdziwe imię i nazwisko oraz adres domowy nie znajdują się już razem u usługodawcy, a kurier z imieniem, nazwiskiem i adresem pod drzwiami znika.

Ponadto opakowanie pozostaje nieopisane i nosi ogólnego nadawcę, a usługodawca wysyła kod PIN do odbioru wyłącznie e-mailem lub SMS-em. Stacje odbioru zastępują adres domowy jako punkt doręczenia, a prawdziwe imię i nazwisko kupującego nie pojawia się już na przesyłce. Skompromitowany usługodawca ujawniłby w konsekwencji jedynie pseudonimy i punkty odbioru. Trezor nazywa projekt swoim obecnym najwyższym priorytetem.

Opcja ma być dostępna w UE od września 2026 roku. W USA ma się pojawić pod koniec 2026 roku. Do tego czasu zamówienia będą realizowane przez istniejące kanały. Harmonogram ukazuje jednak granice zapowiedzi: dla 13 689 już poszkodowanych klientów nowa opcja wysyłki niczego nie zmienia. Ostatecznie zapowiedź jest przyznaniem, że dane wysyłkowe same w sobie stanowią problem bezpieczeństwa.

Obowiązki raportowania i schemat stojący za incydentem

Za Trezorem stoi SatoshiLabs z siedzibą w Czechach, więc do incydentu stosuje się europejskie prawo ochrony danych. Ogólne rozporządzenie o ochronie danych (RODO) wymaga zgłoszenia do organu nadzorczego w ciągu 72 godzin, w szczególności gdy naruszenie stwarza ryzyko dla osób, których dotyczy. Za naruszenia rozporządzenia przewidziano kary do 20 mln EUR lub 4 procent światowego rocznego obrotu firmy. W tej sprawie właściwy byłby czeski organ nadzorczy ÚOOÚ. Ponieważ termin biegnie od momentu powzięcia wiadomości o naruszeniu, zegar ruszył 11 sierpnia 2026 roku. Nie jest jednak publicznie udokumentowane, czy i kiedy Trezor złożył takie zgłoszenie. Poza UE siedem objętych incydentem krajów uruchamia dalsze reżimy powiadomień; w USA wszystkie pięćdziesiąt stanów ma własne przepisy o zgłaszaniu naruszeń danych.

Sam Trezor już wcześniej zetknął się z tym mechanizmem. W kwietniu 2022 roku napastnicy przejęli jego konto newsletterowe u dostawcy poczty e-mail Mailchimp i wykorzystali je do wysyłania klientom e-maili phishingowych o rzekomym naruszeniu danych; Trezor potwierdził wówczas, że do takiego naruszenia nie doszło. Uderzający jest nawrót schematu. We wszystkich tych przypadkach dane znajdowały się poza systemami, którymi zarządzali sami użytkownicy kryptowalut: wcześniej interfejs marketingowy, konto newsletterowe i urząd podatkowy, teraz dostawca wysyłki. W efekcie podmioty trzecie tworzą powracający wektor ataku na posiadaczy kryptowalut. Kryptografia urządzeń nigdy nie była problemem. Dla kupujących bezpieczeństwo przechowywania aktywów zaczyna się od zamówienia, a stojąca za nim logistyka pozostaje podatna.