Утечка данных 81 тысячи владельцев криптокошельков Trezor — подрядчик не удалил старые заказы
Производитель аппаратных криптокошельков Trezor признал, что августовский инцидент у его логистического партнёра ShipMonk оказался куда масштабнее, чем считалось изначально. Как сообщили в BleepingComputer, к списку пострадавших добавились ещё около 67 тысяч клиентов из США, а общее число затронутых утечкой людей выросло примерно до 81 тысячи.
Новая порция данных относится к заказам, оформленным с ноября 2019 года по август 2021 года. В неё вошли полные имена, адреса электронной почты, номера телефонов, почтовые адреса доставки и номера заказов. Всех затронутых покупателей уже уведомили письмами; те, кто уведомления не получил, в этот перечень не попали.
Данные, которых не должно было остаться
Изначально, 13 августа, в Trezor заявляли о 13 689 пострадавших: у 11 742 клиентов утекли имя, почта, телефон и адрес доставки, ещё у 1947 — имя, город и электронная почта. Тогда компания подчёркивала, что ущерб ограничен благодаря строгой политике хранения, по которой партнёры обязаны удалять или обезличивать данные заказа через 90 дней после доставки. Однако 2 сентября ShipMonk уведомил Trezor, что взлом затронул и архив прежнего периода сотрудничества.
По словам компании, на протяжении всего срока работы с подрядчиком она неоднократно требовала удалить эти сведения и получала письменные подтверждения того, что записи стёрты. В Trezor назвали случившееся глубоким разочарованием: несмотря на все заверения, данные так и остались в системах партнёра. Сам ShipMonk публично инцидент до сих пор не комментировал.
Причина — уязвимость нулевого дня в Metabase
Взлом ShipMonk связан с критической брешью в аналитической платформе Metabase. Речь идёт о CVE-2026-72898 — SQL-инъекции в обработчике сброса пароля, которая не требует аутентификации и получила максимальные 10 баллов по шкале CVSS. Разработчики Metabase раскрыли атаку на облачную инфраструктуру 6 августа, а спустя несколько дней вымогательская группировка ShinyHunters добавила компанию в список жертв на своём сайте утечек. По информации BleepingComputer, письма с требованием выкупа от этой группировки получал и ShipMonk.
Эксплуатация той же уязвимости привела к утечкам не только у логистического оператора: о последствиях инцидента сообщали производитель ноутбуков Framework и сервис конструктора форм Tally.
Чем опасна утечка
В Trezor настаивают, что собственные системы компании не пострадали, а устройства, приватные ключи и резервные копии кошельков остались в безопасности. Основной риск в другом: домашние адреса и телефоны оказались напрямую связаны с фактом покупки аппаратного криптокошелька. Такой набор сведений позволяет злоумышленникам готовить убедительные фишинговые письма, звонки якобы от банков, бирж или самой Trezor, а в отдельных случаях создаёт и угрозу физической безопасности владельцев.
Похожая история произошла в 2020 году с конкурентом — компанией Ledger, у которой утекли данные более 270 тысяч покупателей, и последствия в виде звонков мошенников и прямых угроз клиенты ощущали годами. Для самой Trezor нынешний случай тоже не первый: в январе 2024 года злоумышленники получили доступ к стороннему порталу техподдержки с именами, логинами и адресами электронной почты примерно 66 тысяч пользователей.
Что предлагает компания
Trezor ускоряет запуск сервиса анонимной доставки: отдельная процедура оформления заказа, получение в постаматах, нейтральная упаковка, обезличенные данные отправителя и автоматическое удаление идентификаторов после вручения посылки. В Евросоюзе опцию рассчитывают запустить к сентябрю 2026 года, в США — до конца года. Пострадавшим рекомендуют с подозрением относиться к любым сообщениям, требующим срочных действий, сверять их с официальными каналами компании и ни при каких обстоятельствах не вводить резервную фразу кошелька на сторонних сайтах.
