Злам ShipMonk: витік даних торкнувся 13 689 клієнтів Trezor

Trezor повідомив, що внаслідок зламу логістичного партнера ShipMonk були викриті персональні дані 13 689 його клієнтів. Інцидент стосується замовлень, доставлених протягом 90 днів до 8 серпня 2026 року.

За даними компанії, у 11 742 випадках зловмисники отримали повні дані для доставки: ім’я, електронну адресу, номер телефону та адресу доставки. Ще 1 947 клієнтів зазнали часткового витоку: могли бути розкриті ім’я, місто та електронна адреса. Постраждалі розміщені у США, Великій Британії, Швеції, Колумбії, Бразилії, Італії та Португалії.

Trezor поінформував, що його власні системи, апаратні пристрої та приватні ключі не були скомпрометовані. Компанія також зазначила, що резервні копії гаманців залишаються захищеними.

У повідомленні пояснюється, що ShipMonk зберігав інформацію, необхідну для виконання замовлень, і згідно з політикою зберігання дані анонімізуються або видаляються через 90 днів після доставки.

Trezor попередив про підвищений ризик персоналізованих фішингових атак через електронну пошту, телефонні дзвінки або поштові відправлення з підробленими інструкціями. Клієнтам рекомендують не вводити резервні копії гаманців на вебсайтах, не передавати seed‑фрази третім особам і не відповідати на підозрілі повідомлення.

Усі постраждалі отримали індивідуальне сповіщення з адреси [email protected]. Компанія проводить розслідування разом із ShipMonk; логістична фірма повідомила, що ізолювала уражені системи та посилила заходи безпеки.

Trezor анонсував роботу над опцією анонімної доставки: у ЄС її планують запустити у вересні 2026 року, у США — до кінця року. Опція передбачатиме окрему форму замовлення з можливістю використання псевдоніма або ідентифікатора, видачу через автоматизовані поштомати, нейтральне пакування та автоматичне видалення ідентифікаційних даних після отримання замовлення.

Раніше дослідники виявляли вразливість чипа TROPIC01 у моделі Safe 7, яка дозволяла обійти перевірку підписів методом LFI, але не давала доступу до секретних даних. Тоді Trezor повідомляв, що кошти та дані користувачів залишаються захищеними.

Компанія вказала, що з моменту заснування у 2013 році це перший випадок розкриття телефонних номерів та адрес доставки клієнтів. Trezor продовжує спілкування з постраждалими та працює над додатковими заходами безпеки.