У клиентов Trezor утекли данные из-за взлома партнера по доставке

Что произошло

ShipMonk, который хранит и отправляет продукты Trezor, уведомил компанию о несанкционированном доступе к системам с клиентскими данными. В результате были раскрыты данные заказов клиентов, получивших отправления в United States, United Kingdom, Sweden, Colombia, Brazil, Italy или Portugal.

По данным Trezor, инцидент затронул новых клиентов, которые получили заказ в течение 90 дней. У 11 742 клиентов были похищены полные данные, еще у 1 947 раскрыты имена, города и адреса электронной почты.

Что говорит Trezor

Trezor утверждает, что ее собственные системы не были скомпрометированы. Компания также заявила, что ни одно устройство, приватный ключ или резервная копия кошелька не были затронуты.

Ограниченный масштаб утечки компания связала с правилом для партнеров удалять или анонимизировать данные заказов через 90 дней после доставки. Клиенты, которые не получили уведомление по электронной почте, по заявлению Trezor, не затронуты.

Trezor также отметила, что за 13 лет у компании ранее не было утечек, раскрывавших телефонные номера и адреса доставки клиентов.

Почему это важно

Главный риск, на который указывает Trezor, — фишинг. Компания рекомендует клиентам относиться с подозрением к неожиданным контактам и никогда не вводить резервную копию кошелька онлайн.

Decrypt напоминает о случае Ledger в 2020 году: после публикации имен, адресов и телефонных номеров примерно 272 000 клиентов некоторые начали получать требования выкупа с угрозами насилия. Один клиент рассказал Decrypt о множественных письмах и сообщениях в день, а другие позже сообщали о фишинговых звонках от людей, которые говорили так, будто знали их.

Контекст для пользователей аппаратных кошельков

Инцидент не первый в цепочке поставщиков аппаратных кошельков. Ledger в январе раскрыла взлом у своего e-commerce-партнера Global-e, а производители аппаратных кошельков в этом месяце предупреждали о росте фишинга на фоне убытков от эксплойта Coldcard, приблизившихся к $130 млн.

По данным CertiK, в первой половине 2026 года было подтверждено 52 физических нападения на держателей криптовалют по всему миру против 39 годом ранее, а вторжения в дома стали самым распространенным методом. Chainalysis оценила похищенную за тот же период сумму более чем в $30 млн.

Trezor заявила, что ускоряет запуск опции Anonymous Delivery с получением через локеры, нейтральной упаковкой, общими данными отправителя и автоматическим удалением идентификаторов доставки. Для European Union запуск намечен к сентябрю, для United States — к концу года.