Trezor заявила в пятницу, что ещё 67 000 клиентов из США оказались затронуты утечкой данных у поставщика логистических услуг ShipMonk, о которой производитель аппаратных кошельков впервые сообщил в прошлом месяце.

Вновь выявленные записи касаются заказов, размещённых с ноября 2019 года по август 2021 года, поэтому некоторым из них уже почти семь лет. ShipMonk передала эту информацию Trezor два дня назад.

В раскрытые данные входят имена, адреса электронной почты, номера телефонов, домашние адреса и номера заказов. Trezor сообщила, что неоднократно запрашивала и получала от ShipMonk письменные подтверждения того, что эти записи были удалены в соответствии с контрактом и политикой обработки данных, и выразила разочарование, узнав, что этого не произошло. Этот случай напоминает, что даже компании с надёжной собственной безопасностью могут пострадать из-за сторонних подрядчиков — в данном случае провайдера выполнения заказов, который хранил клиентские данные значительно дольше, чем допускал договор.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Когда Trezor раскрыла факт утечки в августе, она объясняла её ограниченный масштаб 90-дневной политикой удаления данных, которую, по её словам, удалось закрепить в условиях договоров с партнёрами по выполнению заказов. Теперь это утверждение выглядит значительно менее убедительным: число затронутых клиентов выросло с 13 689 до примерно 80 700. Утечки, масштабы которых увеличиваются со временем, — распространённое явление: в ходе расследований выявляются дополнительные скомпрометированные системы или сохранённые данные, поэтому дальнейшие обновления возможны.

Владельцы кошельков сталкиваются с множеством угроз

Собственные системы Trezor не были взломаны, устройства, приватные ключи и резервные копии кошельков не пострадали. Опасность, по словам компании, заключается в том, что записи позволяют установить конкретные домашние адреса подтверждённых владельцев аппаратных кошельков. Помимо предупреждений о поддельных письмах, звонках и физических письмах, Trezor обратила внимание пострадавших клиентов на риски для их физической безопасности и повторила, что резервную копию кошелька никогда нельзя никому передавать или вводить на веб-сайте.

Ещё в феврале владельцы кошельков как Trezor, так и конкурента Ledger уже получали поддельные письма, напечатанные с голограммами, QR-кодами и поддельными подписями руководителей, с требованием активировать несуществующую проверку безопасности, иначе они потеряют доступ к своим кошелькам. Сама Ledger в 2020 году пережила крупную утечку данных из интернет-магазина, в результате которой были раскрыты персональные данные почти миллиона клиентов, за чем последовали годы фишинга и угроз в их адрес — прецедент, показывающий, как долго украденные данные покупателей могут подпитывать атаки.

Тогда консультант по киберпреступности Дэвид Сехён Пэк (David Sehyeon Baek) рассказал Decrypt, что письмо с именем и домашним адресом сигнализирует «мы знаем, где вы находитесь», и что украденные данные остаются востребованными годами, поскольку люди редко переезжают или меняют номера телефонов.

Вторжение стало следствием критической уязвимости SQL-инъекции в аналитическом инструменте Metabase, раскрытой 6 августа, которая позволяла неавторизованным злоумышленникам похищать учётные данные подключённых баз данных. Производитель ноутбуков Framework и конструктор форм Tally пострадали в той же волне атак, что показывает, как одна уязвимость в широко используемом программном обеспечении может каскадно распространяться на данные множества компаний. По имеющимся данным, ShipMonk получала письма с требованиями выкупа, приписываемые группе ShinyHunters, однако эта атрибуция пока не подтверждена.

Trezor сообщила, что как можно быстрее внедряет анонимную доставку — опцию с получением в постаматах, нейтральной упаковкой и обобщёнными данными отправителя, чтобы покупателям вообще не приходилось сообщать домашний адрес.