Trezor-Anbieter ShipMonk-Datenpanne hat Bestelldaten von 13.689 Hardware-Wallet-Kunden offengelegt

Der Datenbruch betraf 11.742 Kunden, deren Namen, E-Mail-Adressen, Telefonnummern und Versandadressen alle offengelegt wurden, sowie 1.947, deren Namen, Städte und E-Mail-Adressen entnommen wurden.

Bestellnummern waren enthalten. Trezor gab an, dass die Aufzeichnungen von Bestellungen stammen, die zwischen dem 10. Mai und dem 8. August 2026 eingegangen sind, und nannte die Vereinigten Staaten, das Vereinigte Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal als die betroffenen Märkte.

„Unsere Systeme wurden nicht kompromittiert, und Ihr Trezor-Gerät ist sicher“, erklärte das Unternehmen und fügte hinzu, dass Hardware-Wallets, private Schlüssel und Wallet-Backups nicht betroffen waren.

Eine 90-tägige Datenaufbewahrungspolitik, die Trezor auch in die Bedingungen seiner Erfüllungspartner verhandelt hat, hielt ältere Bestellungen aus dem betroffenen Set heraus, aber jeder betroffene Kunde wurde individuell per E-Mail kontaktiert.

Phishing-Warnung folgt auf Adressleck

Trezor forderte die Kunden auf, jede Kommunikation, die sofortige Maßnahmen verlangt oder persönliche Informationen anfordert, als „verdächtig“ zu behandeln, Ansprüche über offizielle Kanäle zu überprüfen und niemals ein Wallet-Backup auf einer Website einzugeben oder es mit jemandem zu teilen.

In der Offenlegung wurde gesagt, dass betroffene Kunden „einen Anstieg von Phishing-Versuchen erleben könnten.“ Aber es scheint, dass die Nutzer diese Aussage zynisch fanden. „Phishing?? Sie haben physische Adressen, ihr Idioten,“ schrieb ein X-Nutzer, der als Chikun postete, in einer Antwort, die innerhalb einer Stunde etwa 159 Likes sammelte. Eine andere Antwort nannte die Offenlegung „irl phishing.“

Das Phishing-Risiko verfolgt weiterhin, was auf einen vergleichbaren Vorfall bei einem Rivalen folgte.CryptoPotato berichtete, dass Betrüger Bestelldaten, die von Ledgers E-Commerce-Partner Global-e geleakt wurden, verwendet haben, um Phishing-E-Mails zu senden, die behaupteten, Ledger und Trezor hätten fusioniert, und die Empfänger aufforderten, 24-Wort-Wiederherstellungsphrasen auf einer gefälschten Website einzugeben.

Noch ein weiterer Trezor-Vorfall

Trezor sagte, dass sie ermitteln und Updates auf ihrem Blog veröffentlichen werden. Das Unternehmen erwähnte auch, dass es eine anonyme Lieferoption mit neutraler Verpackung, generischen Absenderdetails und automatischer Löschung von Versandidentifikatoren entwickelt.

Es ist keine einfache Zeit, um Trezor-Kunde zu sein, da sie bereits zweimal über Händler erreicht wurden. Angreifer sendeten 2022 Phishing-E-Mails über eine Trezor-Mailingliste, die bei MailChimp kompromittiert wurde, und wiesen die Benutzer an, auf ähnliche Download-Domains zu achten, die darauf abzielten, Seed-Phrasen zu stehlen.

Zwei Jahre später wurde ein Verstoß gegen ein Support-Ticketportal eines Drittanbieters bekannt, bei dem Namen und E-Mail-Adressen von etwa 66.000 Benutzern offengelegt wurden, die seit Dezember 2021 den Trezor-Support kontaktiert hatten. Beide dieser offengelegten Kontaktdaten, aber diese hier legte Wohnadressen in mehreren Ländern offen.

Quelle: CryptoPotato