Trezor, jedan od najpoznatijih proizvođača hardverskih uređaja za pohranu kriptovaluta, potvrdio je povredu podataka koja je zahvatila tisuće njegovih kupaca. Tvrtka kaže da ekspozicija nije nastala...

Povreda podataka kod Trezora pogađa gotovo 14.000 kupaca hardverskih novčanika

Trezor, jedan od najpoznatijih proizvođača hardverskih uređaja za pohranu kriptovaluta, potvrdio je povredu podataka koja je zahvatila tisuće njegovih kupaca. Tvrtka kaže da ekspozicija nije nastala iz vlastitih sustava, već od trećeg pružatelja dostavnih usluga korištenog za ispunjavanje narudžbi. Prema Trezoru, osobni podaci otprilike 13.689 kupaca kompromitirani su nakon što je njihov partner za ispunjavanje narudžbi, ShipMonk, pretrpio neovlašteni pristup svojim sustavima.

Izloženi podaci navodno uključuju imena, adrese e-pošte, a za manji podskup, otprilike 11.742 kupaca, i pune kućne adrese. Trezor kaže da je povreda zahvatila kupce u Sjedinjenim Američkim Državama, Ujedinjenom Kraljevstvu, Švedskoj, Kolumbiji, Brazilu, Italiji i Portugalu koji su naručili unutar razdoblja od 90 dana. Tvrtka nije naznačila da su privatni ključevi, fraze za oporavak novčanika ili sredstva bili pristupljeni, budući da su Trezor uređaji dizajnirani tako da osjetljivi kriptografski materijal nikada ne napušta sam hardver. Ipak, incident naglašava ponavljajući problem u digitalnoj sigurnosti: čak i kada je temeljni proizvod projektiran da bude otporan na hakiranje, okolni poslovni ekosustav, dostava, naplata, korisnička podrška, može postati slaba karika.

Zašto je povreda dostavnog partnera važna za vlasnike kriptovaluta

Ovo nije jednostavno slučaj procurjelih adresa e-pošte koje bi mogle dovesti do neželjene pošte ili phishing napada, iako je taj rizik stvaran. Budući da su Trezor kupci, po definiciji, ljudi koji posjeduju ili namjeravaju posjedovati značajne količine kriptovaluta, povreda koja povezuje stvarno ime i kućnu adresu s poznatom kupnjom hardverskog novčanika stvara posebnu vrstu izloženosti. Za razliku od tipične povrede podataka u maloprodaji, ova zlonamjernim akterima daje popis za ciljanje: ime, adresu i snažan dokaz da osoba vjerojatno posjeduje kripto imovinu na toj adresi.

Ta kombinacija posebno je zabrinjavajuća s obzirom na porast fizičkih, osobnih zločina usmjerenih na vlasnike kriptovaluta, ponekad nazivanih "napadima ključem" (eng. wrench attacks), gdje kriminalci pokušavaju prisiliti žrtve da predaju pristup novčaniku putem zastrašivanja ili nasilja, a ne tehničkog hakiranja. Povreda koja povezuje identitet, lokaciju i status vlasništva kriptovaluta upravo je vrsta skupa podataka koji bi mogao potaknuti ovu vrstu ciljanja, iako Trezor sam nije potvrdio takve incidente povezane s ovom konkretnom povredom.

Ovaj slučaj također ilustrira širi trend u sigurnosti opskrbnog lanca. Tvrtke sve više outsourcingiraju logistiku, IT podršku i korisničku službu trećim dobavljačima, a svaki od tih dobavljača postaje produžetak napadne površine matične tvrtke. Slična dinamika odigrala se u povredi podataka EY-a koja je izložila porezne datoteke klijenata putem kompromitirane IT podrške, gdje ranjivost nije bila u EY-jevim temeljnim sustavima, već u alatu za podršku kojeg koristi njihovo osoblje. Bilo da se radi o centru za ispunjavanje dostava ili IT helpdesku, lekcija je ista: vaši su podaci sigurni koliko i najslabiji dobavljač u lancu.

Što to znači za vas

Ako ste kupili Trezor hardverski novčanik u posljednjim mjesecima, posebno unutar posljednjih 90 dana i iz jedne od pogođenih zemalja, vaše ime, adresa e-pošte i možda vaša kućna adresa mogli su biti izloženi. To ne znači da je vaša kriptovaluta u opasnosti od daljinske krađe, budući da Trezorov sigurnosni model drži privatne ključeve izolirane na samom uređaju i nikada ih ne prenosi sustavima za dostavu ili ispunjavanje narudžbi. Stvarni rizik ovdje je fizički i društveni: phishing poruke koje se predstavljaju kao Trezor podrška, ciljane prijevare koje se pozivaju na vašu nedavnu kupnju ili, u ozbiljnijim slučajevima, pojedinci koji koriste procurjele podatke o adresama za identifikaciju potencijalnih meta za krađu ili prisilu.

Kupci pogođeni ovom povredom trebali bi pomno pratiti phishing pokušaje koji se pozivaju na njihovu Trezor narudžbu, budući da napadači često koriste podatke iz povreda kako bi poruke s prijevarom izgledale legitimno. Budite skeptični prema bilo kojoj e-poruci ili poruci koja od vas traži da "potvrdite" svoj novčanik, ponovno unesete frazu za oporavak ili kliknete na poveznicu za rješavanje sigurnosnog problema. Trezor, kao i svaki ugledni proizvođač hardverskih novčanika, nikada vas neće tražiti vašu početnu frazu (eng. seed phrase).

Također je vrijedno preispitati svoje prakse kućne sigurnosti ako je vaša adresa bila među izloženima te razmotriti jesu li vaša kripto sredstva vidljivo povezana s vašim identitetom na druge načine, poput objava na društvenim mrežama ili javnih adresa novčanika.

Ključne poruke

• Trezorov vlastiti hardver i firmware nisu povrijeđeni; ekspozicija je nastala putem ShipMonka, trećeg pružatelja dostavnih i usluga ispunjavanja narudžbi.
• Otprilike 13.689 kupaca imalo je izložena imena i adrese e-pošte, a oko 11.742 također je imalo kompromitirane kućne adrese.
• Pogođeni kupci dolaze iz SAD-a, Ujedinjenog Kraljevstva, Švedske, Kolumbije, Brazila, Italije i Portugala, vezano uz narudžbe unutar razdoblja od 90 dana.
• Privatni ključevi i fraze za oporavak nisu bili izloženi, ali kombinacija podataka o identitetu i adresi izaziva zabrinutost oko phishinga i fizičke sigurnosti.
• Pazite na sumnjive e-poruke koje se pozivaju na vašu Trezor narudžbu, nikada ne dijelite svoju frazu za oporavak i razmotrite dodatni oprez ako je vaša kućna adresa bila dio curenja.

Kako usvajanje kriptovaluta raste, povrede poput ove podsjetnik su da osiguranje vaše imovine znači gledati dalje od samog uređaja i obratiti pozornost na svaku tvrtku koja dolazi u dodir s vašim osobnim podacima na tom putu.