Утечка данных Trezor затронула ещё 67 000 клиентов из США
Ключевые выводы
- •Утечка данных Trezor теперь затрагивает ещё 67 000 клиентов из США, оформлявших заказы с ноября 2019 года по август 2021 года, против первоначальной оценки в 14 000 пользователей.
- •Раскрытая информация включает имена, адреса электронной почты, номера телефонов, адреса доставки и данные заказов; по словам Trezor, утечка произошла из-за того, что логистический провайдер ShipMonk не удалил данные, несмотря на письменные гарантии.
- •Собственные системы Trezor не были скомпрометированы, однако злоумышленники могут использовать раскрытые данные для выдачи себя за компанию в фишинговых атаках с целью похищения сид-фраз пользователей.
- •По данным компании по безопасности блокчейнов Hacken, фишинговые мошенничества и социальная инженерия принесли 306 миллионов долларов из 482 миллионов долларов потерь криптоиндустрии в первом квартале.
- •Сторонние подрядчики, такие как логистические компании и инструменты поддержки клиентов, неоднократно становились слабыми местами в защите данных криптокомпаний.
Последствия утечки данных у производителя аппаратных кошельков Trezor оказались масштабнее, чем первоначально оценивалось: теперь установлено, что затронуты ещё 67 000 клиентов из США.
В пятничном посте в X Trezor сообщила, что утечка может угрожать большему числу пользователей из США, оформлявших заказы с ноября 2019 года по август 2021 года, ссылаясь на последнее обновление от своего логистического провайдера ShipMonk.
Полные данные этих клиентов оказались раскрыты, включая имена, адреса электронной почты, номера телефонов, адреса доставки и подробности заказов. Trezor возложила ответственность на логистического провайдера за то, что он не удалил данные этих заказов, несмотря на письменные гарантии, полученные от ShipMonk.
Хотя собственные системы Trezor не были скомпрометированы, утечка может угрожать цифровым активам 67 000 клиентов. Злоумышленники могут использовать раскрытую информацию для фишинговых атак, выдавая себя за Trezor с целью похитить сид-фразы пользователей, контролирующие их кошельки. Аппаратные кошельки вроде устройств Trezor изначально разработаны для хранения приватных ключей в офлайн-режиме, чтобы защититься от удалённого взлома, однако эта защита не распространяется на случай, когда пользователь добровольно передаёт фразу восстановления злоумышленнику под видом производителя — именно поэтому подобные утечки данных особенно ценны для мошенников, использующих методы социальной инженерии: они могут составлять убедительные персонализированные сообщения со ссылкой на реальные данные заказов.
В августе Trezor первоначально оценивала, что через логистического провайдера были раскрыты данные лишь 14 000 пользователей. Отдельно, в январе 2024 года, Trezor сообщала, что около 66 000 пользователей подвергались риску фишинговых атак, если они обращались в службу поддержки компании с декабря 2021 года. Эта ситуация не уникальна для Trezor: сторонние подрядчики, такие как логистические компании, маркетинговые платформы и инструменты поддержки клиентов, неоднократно становились слабым звеном в защите данных криптокомпаний, поскольку компании могут контролировать собственную инфраструктуру, но вынуждены полагаться на договорные гарантии внешних партнёров.
Фишинговые атаки и социальная инженерия не требуют эксплуатации уязвимостей в коде. Тем не менее именно мошенничества, основанные на выдаче себя за другие организации, обусловили большую часть потерь криптоиндустрии в первом квартале года — 306 миллионов долларов из общих 482 миллионов долларов потерь, по данным компании по безопасности блокчейнов Hacken.
В июле криптоинвестор потерял почти 1 миллион долларов после подписания вредоносной фишинговой транзакции на одобрение токена в сети Ethereum.
