Pembuat dompet perangkat keras Trezor pada hari Jumat mengatakan bahwa 67.000 pelanggan Trezor lainnya nama, alamat email, nomor telepon, alamat rumah, dan nomor pesanan mereka terekspos dalam pelanggaran data di penyedia pengiriman ShipMonk.

Kesemuanya berada di AS, dan semua melakukan pemesanan antara November 2019 dan Agustus 2021, membuat beberapa catatan yang terekspos berusia hampir tujuh tahun. ShipMonk menyampaikan temuan ini dua hari yang lalu.

Trezor berulang kali meminta dan menerima konfirmasi tertulis bahwa catatan-catatan tersebut telah dihapus, sesuai dengan kontrak dan kebijakan datanya, dan menyatakan kekecewaannya setelah mengetahui bahwa catatan-catatan tersebut belum dihapus.

Saat mengungkapkan pelanggaran data pada bulan Agustus, perusahaan tersebut mengaitkan ruang lingkupnya yang terbatas dengan kebijakan penghapusan 90 hari yang dikatakan telah dinegosiasikan ke dalam persyaratan mitra pemenuhannya. Klaim tersebut kini terlihat jauh lebih lemah. Jumlahnya telah meningkat dari 13.689 menjadi sekitar 80.700.

Pemilik dompet menghadapi berbagai ancaman

Sistem Trezor sendiri tidak dilanggar, dan perangkat, kunci pribadi, serta cadangan dompet tidak tersentuh. Bahayanya adalah catatan tersebut mengidentifikasi pemilik dompet perangkat keras yang terkonfirmasi di alamat rumah tertentu. Selain email palsu, panggilan telepon, dan surat, Trezor memperingatkan pelanggan yang terpengaruh tentang risiko terhadap keamanan fisik mereka, dan menegaskan kembali bahwa cadangan dompet tidak boleh dibagikan atau diketik ke dalam situs web.

Pemilik Trezor dan dompet perangkat keras saingannya, Ledger, telah menerima surat palsu pada bulan Februari, yang dicetak dengan hologram, kode QR, dan tanda tangan eksekutif palsu, menuntut mereka untuk mengaktifkan pemeriksaan keamanan fiktif atau kehilangan akses ke dompet mereka.

Pada saat itu, konsultan kejahatan siber David Sehyeon Baek mengatakan kepada Decrypt bahwa surat yang mencantumkan nama dan alamat rumah menandakan "kami dapat menemukan Anda," dan bahwa data yang dicuri tetap berguna selama bertahun-tahun karena orang jarang pindah rumah atau mengganti nomor mereka.

Intrusi tersebut berasal dari kerentanan injeksi SQL kritis pada alat analitik Metabase, yang diungkapkan pada 6 Agustus, yang memungkinkan penyerang yang tidak terautentikasi mencuri kredensial untuk database yang terhubung. Pembuat laptop Framework dan pembuat formulir Tally juga terkena dampak gelombang yang sama. ShipMonk dilaporkan telah menerima email pemerasan yang dikaitkan dengan ShinyHunters, meskipun atribusi tersebut masih belum dikonfirmasi.

Trezor mengatakan sedang berupaya untuk secepat mungkin menyediakan pengiriman anonim, sebuah opsi yang menggunakan pengambilan di loker, kemasan netral, dan detail pengirim umum sehingga pembeli tidak perlu memberikan alamat rumah sama sekali.