Trezor数据泄露范围扩大，再波及6.7万名美国用户
要点速览
- •Trezor数据泄露现已波及2019年11月至2021年8月期间下单的另外6.7万名美国用户，远高于最初估计的1.4万人。
- •泄露信息包括姓名、电子邮箱、电话号码、收货地址和订单详情，Trezor称这源于物流服务商ShipMonk在作出书面保证后仍未删除数据。
- •Trezor自身系统未遭入侵，但攻击者可能利用泄露数据冒充该公司发起钓鱼攻击，窃取用户的助记词。
- •据区块链安全公司Hacken数据，第一季度加密行业4.82亿美元损失中有3.06亿美元来自钓鱼和社会工程学骗局。
- •物流服务商和客服工具等第三方供应商屡次成为加密企业数据安全的薄弱环节。
硬件钱包供应商Trezor的数据泄露事件影响范围超出最初估计，现已扩大至另外6.7万名美国用户。
Trezor在周五的一篇X帖子中表示，此次泄露可能危及更多在2019年11月至2021年8月期间下单的美国用户，并援引了其物流服务商ShipMonk的最新通报。
受影响用户的完整信息被泄露，包括姓名、电子邮箱、电话号码、收货地址和订单详情。Trezor将责任归咎于物流服务商，称尽管已收到ShipMonk的书面保证，对方仍未删除这些订单的数据。
尽管Trezor自身系统未遭入侵，但此次泄露可能威胁这6.7万名用户的数字资产安全。攻击者可能利用泄露的信息发起冒充Trezor的钓鱼攻击，试图窃取控制用户钱包的助记词。Trezor等硬件钱包的设计初衷正是通过将私钥离线保存来防范远程入侵，但这种保护无法防范用户主动将恢复短语交给冒充厂商的人——这正是此类数据泄露对社会工程学骗子尤为有价值的原因，他们可以利用真实订单信息编造具有说服力的个性化信息。
今年8月，Trezor最初估计仅有1.4万名用户的数据通过该物流服务商泄露。另外，Trezor曾在2024年1月报告，约有6.6万名用户如果自2021年12月以来联系过其客服团队，则面临钓鱼攻击风险。此类事件并非Trezor独有：物流服务商、营销平台和客服工具等第三方供应商屡次成为加密企业数据安全的薄弱环节，因为企业可以掌控自己的基础设施，却只能依赖外部合作伙伴的合同性保证。
钓鱼攻击和社会工程学攻击并不需要利用代码漏洞。即便如此，这类基于冒充的骗局在今年第一季度仍造成了加密行业的大部分损失。据区块链安全公司Hacken数据，此类骗局造成损失3.06亿美元，占总额4.82亿美元的大部分。
今年7月，一名加密投资者在以太坊上签署恶意钓鱼代币授权交易后，损失近100万美元。
