У сервісу логістики ShipMonk, який опрацьовує доставку апаратних гаманців Trezor, стався витік даних: були скомпрометовані персональні відомості про замовлення 13 689 клієнтів, повідомила компанія в четвер.
Головне:
- Зламано ShipMonk — партнера Trezor з фулфілменту; витекли імена, адреси, номери телефонів і email-адреси.
- Повні записи викрадено щодо 11 742 клієнтів, часткові дані — ще щодо 1 947.
- Trezor заявляє, що її власна інфраструктура, пристрої, приватні ключі та резервні копії гаманців не постраждали.
Злам ShipMonk оголив дані замовлень клієнтів Trezor
За словами Trezor, 10 серпня ShipMonk поінформував компанію, що невідомий зловмисник отримав несанкціонований доступ до внутрішніх систем, де зберігалися записи про замовлення клієнтів. Про це виробник гаманців детально повідомив у своєму звіті.
У 11 742 клієнтів були викрадені ім’я, номер телефону, email-адреса та поштова адреса доставки. Ще у 1 947 користувачів зловмисники дістали імена, міста проживання та email-адреси. Усі постраждалі робили замовлення в період із 10 травня до 8 серпня, які відправлялися до США, Великої Британії, Швеції, Колумбії, Бразилії, Італії або Португалії.
Trezor наголошує, що її власні системи не зламані: жоден пристрій, приватний ключ чи резервна копія гаманця не зазнали втручання. Розслідування триває. Діє правило 90-денного видалення даних, запроваджене для партнерів із виконання замовлень: завдяки цьому старіші ордери лишилися поза зоною доступу зловмисника. Клієнти, які не отримали окремого листа-повідомлення, не потрапили до переліку постраждалих.
Читайте також: Четверо трейдерів відкрили шортів на Bitcoin на $343 млн — і один уже не витримав
Ризики фішингу за сценарієм Ledger
Негайна загроза стосується не прямої крадіжки з пристроїв, а шахрайства з використанням вкрадених контактів.
Зловмисники можуть використати ці дані для переконливої імітації банків, бірж або самої Trezor — через email, телефонні дзвінки чи навіть паперові листи, попередила компанія у своєму зверненні в соцмережі X тут. Користувачів закликають з особливою підозрою ставитися до будь-яких повідомлень із вимогою «термінових дій» і завжди звіряти інформацію через офіційні канали. Резервну фразу гаманця не можна вводити на жодному вебсайті за жодних обставин.
Прецедент створив конкурентний виробник гаманців Ledger ще у 2020 році, коли особисті дані близько 272 000 клієнтів — імена, адреси, номери телефонів — опинилися у відкритому доступі, а частина з них згодом отримала електронні листи з вимогами викупу. За даними CertiK, яка задокументувала інциденти, у першій половині 2026 року було зафіксовано 52 фізичні напади на власників криптоактивів проти 39 роком раніше; Chainalysis оцінює збитки від таких атак більш ніж у $30 млн.
Історія інцидентів безпеки Trezor і наслідки для користувачів
Це перший випадок із моменту заснування Trezor у 2013 році, коли зловмисники отримали доступ до телефонних номерів і поштових адрес доставки клієнтів. Попередні інциденти були менш масштабними. Зокрема, у 2024 році був зламаний сторонній портал служби підтримки, що призвело до витоку імен та email-адрес приблизно 66 000 користувачів, про що йшлося в окремому звіті тут.
Тоді жодні кошти клієнтів не постраждали. Компанія нині радить покупцям зменшувати обсяг своїх даних у таких сервісах: використовувати окремі анонімні email-адреси, оплачувати замовлення криптовалютою або вказувати для доставки абонентську скриньку чи поштове відділення.
Розкриття цієї події відбувається на тлі резонансу навколо вразливості у прошивці гаманця Coldcard, після якої близько 233 000 Bitcoin (BTC) вийшли з гаманців довгострокових холдерів. Частину цих монет, за оцінками Casa, перемістили власники Trezor і Ledger, які переходять на мультипідписні схеми зберігання.
У відповідь Trezor анонсувала сервіс анонімної доставки Anonymous Delivery — із видачею в поштових скриньках/пакоматах і нейтральною упаковкою без брендування. Запуск у ЄС планують до вересня 2026 року, а в США — до кінця року.
Читайте далі: Тиск продажів на XRP впав до 0,86 — мінімуму з травня
