Trezor ujawnił, że w wyniku naruszenia danych związanego z jego dostawcą usług wysyłkowych ShipMonk poszkodowanych zostało dodatkowo 67 000 klientów w Stanach Zjednoczonych, co znacząco zwiększa liczbę użytkowników narażonych w tym incydencie. Nowe ujawnienie pogłębia obawy dotyczące ochrony danych klientów przechowywanych przez zewnętrznych usługodawców wykorzystywanych przez firmy kryptowalutowe.

Producent portfeli sprzętowych, prowadzony przez czeskie SatoshiLabs, poinformował 4 września, że nowo zidentyfikowane rekordy dotyczyły klientów z USA, którzy składali zamówienia między listopadem 2019 a sierpniem 2021 roku. Ujawnione informacje obejmowały imiona i nazwiska klientów, adresy e-mail, numery telefonów, adresy wysyłki oraz numery zamówień.

Po najnowszym ujawnieniu łączna liczba klientów Trezora dotkniętych naruszeniem danych u ShipMonka wynosi obecnie 80 689, z czego ponad 67 000 z nich ma siedzibę w Stanach Zjednoczonych.

Incydent wyszedł na jaw 13 sierpnia, gdy Trezor oświadczył, że ShipMonk, zewnętrzny dostawca realizacji zamówień, powiadomił firmę o nieautoryzowanym dostępie do systemów zawierających dane klientów. Wówczas podano, że naruszenie dotyczyło klientów w Stanach Zjednoczonych, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoszech i Portugalii, których zamówienia zostały zrealizowane w ciągu 90 dni poprzedzających 8 sierpnia.

Wcześniejsze ujawnienie obejmowało prawie 14 000 klientów

Pierwotne ujawnienie Trezora zidentyfikowało 11 742 klientów, których imiona i nazwiska, adresy e-mail, numery telefonów i adresy wysyłki zostały ujawnione. Kolejnych 1 947 klientów uznano za dotkniętych częściowym ujawnieniem informacji, w tym ich imion i nazwisk, miast i adresów e-mail.

Nowo ujawnione rekordy istotnie zwiększają skalę incydentu. W przeciwieństwie do klientów zidentyfikowanych podczas wstępnego śledztwa dodatkowi użytkownicy z USA składali zamówienia w znacznie dłuższym okresie, obejmującym transakcje dokonane między listopadem 2019 a sierpniem 2021 roku.

Trezor oświadczył, że skontaktował się ze wszystkimi klientami uznanymi za dotkniętych naruszeniem. Firma wskazała, że klienci, którzy nie otrzymali e-maila z powiadomieniem, nie powinni być zaliczani do nowo zidentyfikowanej grupy.

Firma podkreśliła również, że naruszenie nie objęło jej portfeli sprzętowych ani systemów wewnętrznych. Zgodnie z oświadczeniem Trezora urządzenia klientów pozostają bezpieczne mimo ujawnienia danych osobowych za pośrednictwem zewnętrznego dostawcy wysyłek. Portfele sprzętowe, takie jak te produkowane przez Trezora, przechowują klucze prywatne użytkowników offline, dlatego sam wyciek danych zamówień nie daje atakującym dostępu do środków.

Ostrzeżenia przed atakami następczymi

Chociaż firma oświadczyła, że urządzenia sprzętowe i jej własne systemy nie zostały naruszone, ujawnienie imion i nazwisk, danych kontaktowych oraz adresów wysyłki może stworzyć dodatkowe ryzyka dla bezpieczeństwa dotkniętych klientów.

Trezor wezwał użytkowników do ostrożności wobec komunikacji, która wydaje się pochodzić od firmy lub innych zaufanych usług. Potencjalne zagrożenia obejmują fałszywe e-maile, połączenia telefoniczne i listy wysłane tradycyjnie, mające na celu wykorzystanie informacji uzyskanych w wyniku naruszenia. Dostępność adresów wysyłki budzi również obawy wykraczające poza oszustwa cyfrowe, szczególnie wśród użytkowników, którzy mogą posiadać sprzęt kryptowalutowy zapewniający dostęp do wartościowych aktywów cyfrowych.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor ostrzegł dotkniętych klientów, aby zachowali czujność wobec prób phishingu, oszustw opartych na podszywaniu się oraz potencjalnych zagrożeń dla bezpieczeństwa fizycznego po ujawnieniu ich danych osobowych. Obawy mają solidne podstawy w przeszłych wydarzeniach: w 2020 roku konkurencyjny producent portfeli sprzętowych Ledger padł ofiarą naruszenia bazy danych sklepu internetowego, które ujawniło około miliona adresów e-mail klientów, a później napędziło falę ataków phishingowych – dowodzi to, że wyciekłe dane zamówień mogą być wykorzystywane na długo po pierwotnym incydencie.

Zarzuty dotyczące usuwania danych pod lupą

Naruszenie wywołało również pytania o to, jak ShipMonk postępował z danymi klientów po wniosku Trezora o ich usunięcie. Trezor oświadczył, że wielokrotnie zabiegał o usunięcie odpowiednich danych klientów i otrzymywał od dostawcy wysyłek pisemne zapewnienia, że do tego dojdzie.

Firma stwierdziła jednak, że mimo tych zapewnień dane pozostały w systemach ShipMonka. Ten rozwój sytuacji dodał incydentowi nowego wymiaru, kierując uwagę na praktyki retencji danych i zabezpieczenia stosowane przez zewnętrznych usługodawców.

Wydarzenie uwypukla szersze wyzwanie dla producentów portfeli sprzętowych, którzy mogą musieć godzić bezpieczeństwo produktu z ochroną danych klientów zbieranych podczas zakupów i dostaw. Choć nie zgłoszono naruszenia samych urządzeń, ujawnione dane osobowe mogą dostarczyć atakującym informacji przydatnych w ukierunkowanych kampaniach socjotechnicznych. Sprawa rodzi także pytania, które klienci będą coraz częściej zadawać firmom kryptowalutowym i ich dostawcom: jak długo przechowywane są dane zamówień, kto ma do nich dostęp oraz czy wnioski o ich usunięcie są rzeczywiście weryfikowane, a nie jedynie przyjmowane na podstawie pisemnych zapewnień.

W miarę kontynuacji śledztwa dotknięci klienci będą prawdopodobnie narażeni na nasilenie prób podszywania się i oszustw. Rozszerzający się wyciek podkreśla ryzyka bezpieczeństwa związane z danymi klientów przechowywanymi poza własną infrastrukturą firmy kryptowalutowej, nawet gdy same systemy portfeli sprzętowych pozostają nienaruszone.