Trezor bekræftede torsdag, at et brud hos en af deres forsendelsespartnere har afsløret personlige data på 13.689 kunder. Navne, hjemmeadresser, telefonnumre og e-mailadresser blev stjålet.
Ingen krypto er flyttet. Trezor oplyser, at deres egne systemer, enheder og kundernes wallet-backups aldrig blev kompromitteret. Skaden ligger hos en ekstern leverandør.
Hvad Trezor-databruddet afslørede
ShipMonk opbevarer og sender Trezor-ordrer. Den 10. august informerede de Trezor om, at en hacker havde fået adgang til systemer med kundedata.
Eksponeringen er delt i to. Omkring 11.742 købere har fået alt lækket: navn, e-mail, telefonnummer og fuld leveringsadresse. Yderligere 1.947 fik kun navn, by og e-mail afsløret.
Tidspunktet afgør, hvem der er ramt. Bruddet rammer ordrer leveret mellem 10. maj og 8. august i år i USA, Storbritannien, Sverige, Colombia, Brasilien, Italien og Portugal.
Ældre købere blev skånet af en regel. Trezor kræver, at partnere sletter eller anonymiserer ordredata 90 dage efter levering, så ældre forsendelser var allerede slettet.
Der er en enkel test. Berørte kunder har modtaget en e-mail fra [email protected]. Hvis du ikke har modtaget mailen, er du ikke ramt.
En detalje gør ekstra ondt. ShipMonk har SOC 2 Type II-certificering, en gennemgået sikkerhedsstandard, og alligevel blev de hacket.
Hvorfor en lækket adresse er værre end en lækket e-mail
En e-mail alene giver svindlere begrænset værdi. Et navn, en hjemmeadresse og telefonnummer gør det meget værre. De peger på en bestemt person i en bestemt bolig som krypto-køber.
Trezor har forklaret risikoen. Svindlere kan sende falske e-mails, ringe, sende bedrageriske breve eller udgive sig for at være en bank, en børs eller Trezor selv.
Det her er sket før. Ledger mistede cirka 1 million kunders e-mails i juli 2020. Omkring 9.500 af dem fik også fulde postadresser lækket, og falske brev med recovery phrase dukkede op hos dem flere år senere.
Sammenlign nu tallene. Trezors læk afslørede hele adresser for 11.742 personer – flere end de 9.500 Ledger-kunder ramt i 2020.
Ledgers direktør Pascal Gauthier svarede på samme bekymring i 2020, og logikken gælder stadig.
“der er ingen måde at forbinde de lækkede data med midlerne på din wallet,” stod der i Ledgers udmelding.
Angriberne havde allerede fokus på mærket. En ny Trezor-phishing-annonce blev set få dage før det her kom frem. Samtidig har falske supportsamtaler allerede tømt millioner fra ejere i år.
Leverandørerne bliver ved med at være svage led. Ledger’s betalingsformidler blev hacket i januar og lækkede kunders ordredata.
Hvad Trezor-ejere bør gøre nu
Rådet er enkelt og effektivt. Tag altid store krav om hurtig handling som et rødt flag. Tjek mærkelige beskeder via Trezors officielle kanaler. Indtast aldrig en wallet-backup på en hjemmeside.
“Indtast aldrig din wallet-backup på en hjemmeside eller del den med nogen,” skrev Trezor i et blogindlæg.
To gode vaner kan mindske risikoen fremover. Brug en mail, der ikke kan kobles til dit rigtige navn, og betal med krypto, hvis muligt.
Trezor har også lovet en Anonym Levering-mulighed, hvor man kan hente sit produkt i en pakkeboks og få neutral indpakning. Målet er EU inden september og USA inden udgangen af 2026.
Trezor siger, at det er det første brud siden 2013, hvor både kunders telefonnumre og leveringsadresser blev lækket. Hardwaren er stadig sikker. Svagheden var ikke selve enheden, men emballagen den kom i.
