Il fornitore Trezor ShipMonk ha esposto i dati degli ordini per 13.689 clienti di portafogli hardware

La violazione ha colpito 11.742 clienti i cui nomi, indirizzi email, numeri di telefono e indirizzi di spedizione sono stati tutti esposti, oltre a 1.947 i cui nomi, città e indirizzi email sono stati rubati.

I numeri degli ordini erano inclusi. Trezor ha dichiarato che i registri provenivano da ordini ricevuti tra il 10 maggio e l'8 agosto 2026, e ha nominato Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo come i mercati colpiti.

“I nostri sistemi non sono stati compromessi e il tuo dispositivo Trezor è sicuro,” ha dichiarato l'azienda, aggiungendo che i portafogli hardware, le chiavi private e i backup dei portafogli non sono stati interessati.

Una politica di archiviazione dei dati di 90 giorni, che Trezor ha affermato di aver negoziato anche nei termini dei suoi partner di adempimento, ha tenuto gli ordini più vecchi fuori dal set esposto, ma ogni cliente colpito è stato contattato individualmente via email.

Avviso di phishing dopo la fuga di indirizzi

Trezor ha detto ai clienti di trattare qualsiasi comunicazione che richieda un'azione immediata o richieda informazioni personali come “sospetta”, di verificare le affermazioni attraverso canali ufficiali e di non inserire mai un backup del portafoglio su un sito web o condividerlo con nessuno.

La sua divulgazione ha detto che i clienti colpiti “potrebbero sperimentare un aumento dei tentativi di phishing.” Ma sembra che gli utenti abbiano trovato quella dichiarazione cinica. “Phishing?? Hanno indirizzi fisici, imbecilli,” ha scritto un utente di X postando come Chikun, in una risposta che ha raccolto circa 159 mi piace nell'ora. Un'altra risposta ha definito l'esposizione “phishing irl.”

Il rischio di phishing continua a seguire ciò che è accaduto dopo un incidente comparabile presso un concorrente.CryptoPotato è stato riportato che i truffatori hanno utilizzato i dati degli ordini trapelati dal partner e-commerce di Ledger, Global-e, per inviare email di phishing che affermavano che Ledger e Trezor si erano fusi, spingendo i destinatari a inserire frasi di recupero di 24 parole su un sito falso.

Ancora un altro incidente Trezor

Trezor ha dichiarato che sta indagando e pubblicherà aggiornamenti sul suo blog. L'azienda ha anche menzionato di costruire un'opzione di Consegna Anonima, con imballaggi neutri, dettagli del mittente generici e cancellazione automatica degli identificatori di spedizione.

Non è un periodo facile per essere un cliente Trezor, poiché sono stati contattati tramite fornitori due volte in precedenza. Gli aggressori hanno inviato email di phishing tramite una mailing list di Trezor compromessa su MailChimp nel 2022, indirizzando gli utenti verso domini di download simili progettati per rubare frasi seed.

Due anni dopo, una violazione di un portale di ticketing di supporto di terze parti ha esposto nomi e indirizzi email di circa 66.000 utenti che avevano contattato il supporto Trezor dal dicembre 2021. Entrambi questi dettagli di contatto esposti, ma questo ha esposto indirizzi di casa in diversi paesi.

Fonte: CryptoPotato