13 августа компания Trezorсообщила, что утечка данных у поставщика услуг выполнения заказов ShipMonk затронула данные около 13 689 покупателей аппаратных кошельков, включая адреса доставки 11 742 человек.
У большей группы были раскрыты имена, адреса электронной почты, номера телефонов и адреса доставки, а у ещё 1 947 клиентов были скомпрометированы имена, города и адреса электронной почты. ShipMonk обрабатывала эти данные для выполнения и доставки заказов Trezor.
Trezor заявила, что её собственные системы, устройства и сервисы не были взломаны, а кошельки клиентов остаются в безопасности. Однако утечка создаёт иной риск: связывание идентифицируемых людей и, в большинстве случаев, их домашних адресов с покупкой аппаратного кошелька, предназначенного для защиты криптоактивов.
Согласно раскрытию информации компании от 13 августа, ShipMonk уведомила Trezor 10 августа о том, что неавторизованное лицо получило доступ к системам, содержащим данные клиентов.
11 742 полностью раскрытых записи охватывают заказы, полученные с 10 мая по 8 августа. Дополнительные 1 947 записей могут включать более старые покупки, и Trezor сообщила, что всё ещё работает с ShipMonk, чтобы выяснить, почему эти записи остались доступными.
Trezor сообщила, что её партнёры по выполнению заказов обычно обязаны удалять или анонимизировать информацию о заказе в течение 90 дней после доставки, тем самым ограничивая объём недавних данных клиентов, остающихся доступными после завершения заказа.
Данные о доставке могут превратить цифровую утечку в угрозу физической безопасности
Хотя раскрытые записи не предоставляют доступа к кошелькам или закрытым ключам, они могут сделать фишинговые и другие атаки гораздо более целенаправленными.
Trezor предупредила, что мошенники могут использовать эту информацию для выдачи себя за компанию, банки или криптобиржи с помощью убедительных электронных писем, телефонных звонков и писем. Злоумышленник, который уже знает, что человек купил устройство Trezor, может адаптировать сообщение вокруг безопасности кошелька, скомпрометированных средств или предполагаемых проблем с учётной записью, вместо того чтобы полагаться на общие фишинговые тактики.
Включение адресов доставки вызывает более серьёзную озабоченность, поскольку позволяет идентифицировать домохозяйства, связанные с людьми, которые, вероятно, владеют криптовалютой.
Это не означает, что данные ShipMonk были использованы для физических атак. Однако предыдущие случаи показывают, как базы данных клиентов могут помочь преступникам выявить потенциальных держателей криптовалюты, прежде чем перейти от онлайн-разведки к атакам в реальном мире.
В деле 2025 года, не связанном с Trezor, Министерство юстиции США описало предполагаемую сеть кражи криптовалют, которая использовала украденные базы данных для выявления жертв и включала домушников, нацеленных на владельцев аппаратных кошельков.
Chainalysis также обнаружила, что годовая стоимость, украденная в результате насильственных криптоатак, достигла рекордных 58 миллионов долларов в 2025 году, а ещё 30 миллионов долларов было украдено к середине 2026 года. На вторжения в жилища пришлось 37% зарегистрированных инцидентов в этом году по сравнению с 26% в 2023 году.
Фирма по анализу блокчейна сообщила, что злоумышленники варьируются от преступников, которые отправляют украденные активы напрямую на централизованные биржи, до более сложных групп, использующих инфраструктуру отмывания для сокрытия доходов.
Trezor и руководители криптоиндустрии продвигают более строгие меры конфиденциальности
После недавней волны утечек данных третьих сторон, затронувших поставщиков криптоуслуг, лидеры отрасли всё чаще предупреждают о рисках чрезмерно раскрытых пользовательских данных.
Сооснователь и генеральный директор Helius Мерт Мумтаз заявил, что утечки, связанные с информацией о клиентах, будут продолжаться у поставщиков программного обеспечения, утверждая, что пользователи криптовалют должны сократить объём личной информации, которую можно связать между сервисами.
Среди его рекомендаций были использование отдельных псевдонимов электронной почты, уникальных паролей и аппаратной многофакторной аутентификации вместо SMS. Он также призвал пользователей избегать предоставления ненужных личных данных и, где возможно, заказывать доставку чувствительных товаров в общие или нежилые помещения, а не домой.
Мумтаз также утверждал, что аппаратный кошелек не следует рассматривать как достаточную защиту для значительных средств, рекомендуя использовать мультиподписные схемы, чтобы компрометация одного устройства или подписанта не могла раскрыть весь баланс.
Trezor применяет аналогичный подход со стороны выполнения заказов, пытаясь сократить объём данных о доставке, которые остаются привязанными к будущим покупкам.
Компания сообщила, что планирует внедрить анонимную доставку в Европейском союзе к сентябрю 2026 года, а в США — к концу года. Сервис будет использовать специальный процесс оформления заказа, получение в постамате, нейтральную упаковку и общие данные отправителя, при этом идентификаторы доставки будут автоматически удаляться после доставки.
Для клиентов, пострадавших от инцидента с ShipMonk, Trezor рекомендовала относиться к срочным запросам информации с подозрением, проверять сообщения через официальные каналы и никогда не передавать резервную копию кошелька и не вводить её на веб-сайте.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
