Impact datalek Trezor bereikt nu 81.000 klanten

Producent van cryptocurrency-hardwareportefeuilles Trezor heeft bevestigd dat de omvang van een datalek bij zijn verzend- en logistieke partner ShipMonk veel groter is dan oorspronkelijk gerapporteerd. Wat in augustus begon als een melding die ongeveer 14.000 klanten trof, is nu gegroeid naar 81.000, nadat Trezor nog eens 67.000 Amerikaanse klanten identificeerde die door hetzelfde incident zijn getroffen.

Het lek is niet ontstaan in Trezors eigen systemen. Het komt voort uit ShipMonk, het externe bedrijf dat Trezor gebruikt voor orderafhandeling en verzending. Omdat ShipMonk klantorders verwerkt, beschikt het ook over persoonlijke gegevens die aan die aankopen zijn gekoppeld. Daarom kan een compromittering bij de logistieke provider Trezor-klanten blootstellen, ook al is de kernbeveiligingsinfrastructuur van Trezor nooit aangeraakt.

Van 14.000 naar 81.000: hoe de cijfers groeiden

Trezor maakte het lek voor het eerst bekend op 13 augustus en vertelde klanten dat aanvallers toegang hadden gekregen tot gegevens van bijna 14.000 mensen. Dat eerste cijfer was al de derde of vierde herziening in een reeks gerelateerde updates, na eerdere meldingen van een ShipMonk-hack die 13.689 kopers blootstelde en een afzonderlijke melding die het aantal op iets meer dan 13.000 zet.

De laatste update is de grootste sprong tot nu toe. Trezor zegt dat nog eens 67.000 Amerikaanse klanten zijn getroffen, waarmee het bevestigde totaal op 81.000 komt. Dat is een bijna zesvoudige toename ten opzichte van de oorspronkelijke schatting bij de eerste bekendmaking van het lek. Dit patroon, waarbij een eerste lekbekendmaking wordt gevolgd door herhaalde opwaartse herzieningen, komt veel voor bij incidenten met externe leveranciers, omdat het getroffen bedrijf vaak zelf onderzoek doet op zijn eigen systemen terwijl zijn partner een aparte, soms langzamere, beoordeling uitvoert van wat er precies is benaderd.

Net als bij de eerdere fase van dit lek, waarbij woonadressen van bijna 14.000 klanten werden blootgesteld, hebben de betrokken gegevens te maken met orderafhandeling en niet met Trezors portefeuillesoftware of privésleutels. Dat onderscheid is belangrijk: er is geen enkele aanwijzing dat cryptocurrency-bezittingen, wallet-herstelzinnen of apparaatfirmware zijn gecompromitteerd. De blootstelling richt zich op persoonlijke gegevens die klanten bij het plaatsen van orders hebben verstrekt, het soort gegevens dat een verzendbedrijf nodig heeft om een pakket te bezorgen.

Wat dit voor jou betekent

Als je ooit een Trezor-apparaat hebt besteld, is deze uitgebreide melding het serieus nemen waard, zelfs als je geen deel uitmaakte van de oorspronkelijke 14.000 klanten die in augustus zijn geïnformeerd. Omdat de nieuw geïdentificeerde 67.000 klanten specifiek in de VS wonen, moet iedereen in de Verenigde Staten die een Trezor-product heeft gekocht ervan uitgaan dat hij of zij tot deze bredere groep kan behoren totdat er directe bevestiging komt, in welke richting dan ook.

Het praktische risico van dit soort lek is niet dat iemand op afstand een cryptocurrency-portefeuille kan leegtrekken. Trezor-apparaten zijn zo gebouwd dat privésleutels de hardware nooit verlaten, en een verzenddatalek verandert daar niets aan. Het echte risico is indirecter: aanvallers die namen, verzendadressen en ordergegevens bemachtigen die aan hardwareportefeuille-aankopen zijn gekoppeld, hebben nu een lijst met mensen waarvan bekend is dat ze cryptocurrency bezitten en, vaak, hun fysieke adressen. Die combinatie is waardevol voor oplichters die phishingcampagnes of nep-ondersteuningsverzoeken uitvoeren, of in zeldzamere gevallen gerichte fysieke criminaliteit tegen crypto-bezitters.

Omdat dit lek sinds de eerste bekendmaking meerdere keren is bijgewerkt, moeten klanten er niet vanuit gaan dat het huidige cijfer van 81.000 definitief is. Bedrijven die lekken bij externe leveranciers onderzoeken, geven vaak verdere updates terwijl het onderzoek van de leverancier zelf doorgaat.

Praktische adviezen

Als je een Trezor-apparaat hebt gekocht, vooral in het afgelopen jaar, zijn er een paar stappen die je nu kunt nemen. Controleer ten eerste op officiële communicatie rechtstreeks van Trezor die bevestigt of jouw account tot de getroffen groep behoort, en behandel ongevraagde e-mails of telefoontjes die beweren van Trezor-ondersteuning te zijn met extra achterdocht, omdat lekgegevens vaak worden gebruikt om phishingpogingen geloofwaardiger te maken. Deel ten tweede nooit je herstelzin of seedwoorden van je portefeuille met iemand, ook niet met iemand die beweert Trezor-ondersteuning te vertegenwoordigen; legitieme ondersteuningsmedewerkers zullen hier nooit om vragen. Ten derde, als je huisadres is blootgesteld, overweeg dan dat deze informatie die jou aan cryptocurrency-bezit koppelt mogelijk circuleert, en blijf alert op ongewoon postverkeer, telefoontjes of persoonlijk contact dat naar je aankoop verwijst. Houd ten slotte toekomstige updates over dit incident in de gaten, aangezien de herhaalde herzieningen tot nu toe suggereren dat de uiteindelijke omvang nog kan veranderen.

Trezors kernbeveiliging van de portefeuille blijft onaangetast door dit lek, maar de blootstelling van persoonlijke verzendgegevens op deze schaal is een herinnering dat zelfs privacygerichte hardwareproducten afhankelijk zijn van externe leveranciers die mogelijk niet aan dezelfde beveiligingsnorm voldoen.