Витік даних Trezor торкнувся 14 000 клієнтів через партнера з доставки

Виробник апаратних гаманців Trezor попередив близько 14 000 клієнтів про витік персональних даних через одного з логістичних партнерів. Постраждали ті, хто оформлював замовлення з 10 травня по 8 серпня та отримував посилку у США, Британії, Швеції, Колумбії, Бразилії, Італії чи Португалії. Історія повторює сценарій 2020 року з Ledger і нагадує, що захист приватних ключів вирішує лише частину проблеми безпеки власників криптовалюти.

Що сталося зі сховищем ShipMonk

Компанія ShipMonk, яка зберігає та відправляє товари Trezor, повідомила виробника в понеділок. Стороння особа отримала доступ до систем із даними клієнтів, і масштаб виявився немалим. У 11 742 користувачів зловмисники забрали повний набір даних: ім'я, адресу, телефон і пошту. Ще у 1 947 людей розкрили лише імена, міста та email. Разом це 13 689 постраждалих облікових записів, тобто майже 14 000, про які йдеться в заголовках.

Trezor наголосила, що власні системи компанії не постраждали. Жоден пристрій, приватний ключ чи резервна копія гаманця не потрапили під загрозу. Обмежений масштаб витоку пояснюється просто. Партнери компанії видаляють або знеособлюють дані про замовлення через 90 днів після доставки, тож старі покупки на момент злому в системі ShipMonk уже не зберігалися. Клієнти, які не отримали листа-попередження від Trezor, витоку не зазнали. Втім для 13 689 людей, чиї дані вціліли саме у цьому вікні, наслідки виявилися цілком реальними.

Кому і чим загрожує витік

Попередження Trezor стосується насамперед фішингу. Компанія радить власникам гаманців ставитися з підозрою до будь-яких неочікуваних дзвінків, листів чи повідомлень, які нібито надходять від служби підтримки. Головне правило залишається незмінним. Seed-фразу чи резервну копію гаманця не можна вводити на жодному сайті чи в жодному додатку, скільки б довіри не викликав співрозмовник.

Ризик тут не обмежується електронною поштою. У зловмисників тепер є повні адреси доставки та номери телефонів реальних власників апаратних гаманців. Це вже категорія фізичної безпеки, а не лише кіберзахисту, і саме тому Trezor формулює попередження так обережно.

Ризик виходить за межі фішингу

Прецедент уже був. У 2020 році зламали Ledger, і в мережу потрапили імена, адреси та телефони приблизно 272 000 клієнтів. Частина з них почала отримувати погрози фізичною розправою з вимогою викупу, інші розповідали про дзвінки від людей, які, здається, знали про них забагато. Той витік довго вважали найгіршим у галузі апаратних гаманців. Тепер у нього з'явився наступник за масштабом наслідків, навіть якщо кількість постраждалих цього разу менша.

За перше півріччя 2026 року аналітики CertiK підтвердили 52 фізичні напади на власників криптовалюти по всьому світу проти 39 роками раніше. Домашні пограбування вже випередили викрадення як найпоширеніший спосіб атаки. Chainalysis оцінила загальні збитки від таких нападів за той самий період більш ніж у 30 мільйонів доларів і прогнозує, що рік стане найгіршим за всю історію спостережень. На цьому тлі будь-яка нова база з адресами власників криптогаманців виглядає як готовий список цілей.

Крипто-гаманці під прицілом не вперше

Історія постачальників апаратних гаманців знає й інші подібні епізоди. У січні Ledger повідомила про злам своєї партнерки з електронної комерції Global-e. А цього місяця виробники гаманців попереджали про сплеск фішингових атак після експлойту Coldcard, збитки від якого наблизилися до 130 мільйонів доларів.

Той самий інцидент з Coldcard підштовхнув частину великих власників біткоїна до дій. За даними компанії Casa, з гаманців довгострокових інвесторів пішло близько 233 000 Bitcoin, приблизно 15 мільярдів доларів, і частина цієї суми належала саме клієнтам Ledger та Trezor, які вирішили перейти на мультипідписні гаманці. Постачальники обладнання опинилися в незвичній позиції: продукт залишається безпечним, а вразливим стає все, що навколо нього.

На практиці власники апаратних гаманців реагують на подібні новини майже однаково.

• перевіряють, чи не спливають їхні дані в списках витоків.
• переходять на мультипідписні схеми зберігання ключів.
• ігнорують дзвінки та листи з проханням підтвердити дані гаманця.
• оновлюють адресу доставки на випадок нових покупок обладнання.

Що зміниться у постачанні Trezor

Trezor визнала, що за 13 років роботи компанія ще жодного разу не мала витоку, який розкривав би номери телефонів і адреси клієнтів. У відповідь компанія прискорює запуск опції Anonymous Delivery. Це отримання через локер, нейтральне пакування без логотипів, знеособлені дані відправника та автоматичне видалення ідентифікаторів доставки. Опція запрацює в Євросоюзі вже у вересні та в США до кінця року.

Для ринку апаратних гаманців це черговий сигнал. Фізична адреса власника крипти стала таким самим цінним активом для зловмисників, як і сам пристрій. Виробники, які раніше конкурували лише безпекою прошивки, тепер змушені захищати ще й логістику, а покупці все частіше обирають гаманець ще й за тим, як компанія поводиться з їхніми даними.