Isang paglabag sa data sa isa sa mga tagapagbigay ng serbisyo sa pagpapadala ng Trezor ang naglantad sa mga pangalan, numero ng telepono, email address, at address ng bahay ng libu-libong customer ng tagagawa ng hardware wallet, ibinunyag ng kumpanya noong Huwebes.

Sinabi ng ShipMonk, na siyang nag-iimbak at nagpapadala ng mga produkto ng Trezor, sa kumpanya noong Lunes na isang hindi awtorisadong partido ang nakapasok sa mga sistema na naglalaman ng data ng customer. Nasa 11,742 customer ang buong detalye ang nakuha at isa pang 1,947 ang nalantad ang pangalan, lungsod, at email address, na may kabuuang 13,689. Ang mga naapektuhan ay nag-order sa pagitan ng Mayo 10 at Agosto 8 at ipinadala sa Estados Unidos, United Kingdom, Sweden, Colombia, Brazil, Italy o Portugal.

Sinabi ng Trezor na hindi nakompromiso ang sarili nilang mga sistema at walang device, pribadong key, o backup ng wallet ang nagalaw. Idiniin nito ang limitadong saklaw sa isang patakaran na nangangailangan sa mga kasosyo na burahin o gawing anonymous ang data ng order 90 araw pagkatapos ng paghahatid, na nangangahulugang hindi na hawak ang mga mas lumang order. Ang mga customer na hindi nakatanggap ng notification email ay hindi apektado, ayon sa Trezor. Sa loob ng 13 taon, idinagdag ng kumpanya, hindi pa sila nagkaroon ng paglabag na naglalantad ng numero ng telepono at address ng pagpapadala ng customer.

Phishing at "wrench attacks"

Ang babala ng Trezor ay tungkol sa phishing, at pinapayuhan nito ang mga customer na tratuhin nang may pagdududa ang hindi inaasahang pakikipag-ugnayan at huwag kailanman ilagay ang backup ng wallet online. Iminumungkahi ng pangyayari noong 2020 sa kalabang Ledger na ang panganib ay lumalampas pa sa mapanlinlang na email.

Matapos malathala ang mga pangalan, address, at numero ng telepono ng humigit-kumulang 272,000 customer ng Ledger, ang ilan ay nagsimulang makatanggap ng mga paghingi ng ransom na nagbabanta ng karahasan. Sinabi ng isa sa Decrypt na nakatanggap sila ng maraming email at text sa isang araw, habang ang iba naman ay nag-ulat na nakatanggap ng mga phishing call mula sa mga taong nagsasalita na parang kilala sila.

Ang mga banta na iyon ay marami nang kasama ngayon, kung saan na-verify ng CertiK ang 52 pisikal na pag-atake sa mga nagmamay-ari ng crypto sa buong mundo sa unang kalahati ng 2026, mas mataas mula sa 39 noong nakaraang taon, at ang mga panghihimasok sa bahay ay nalampasan ang pagdukot bilang pinakakaraniwang pamamaraan. Inilagay ng Chainalysis ang halagang ninakaw sa higit sa $30 milyon sa parehong panahon at sinabing ang taon ay patungo sa pagiging pinakamasama sa kasaysayan.

Hindi ito ang unang insidente ng ganitong uri na tumama sa supply chain para sa mga hardware wallet. Ibinunyag ng Ledger ang isang paglabag sa sarili nitong kasosyo sa e-commerce, ang Global-e, noong Enero, at nagbabala ang mga kumpanya ng hardware wallet tungkol sa pagtaas ng phishing ngayong buwan habang ang mga pagkalugi mula sa Coldcard exploit ay papalapit sa $130 milyon.

Ang balita ay lumabas habang ang mga gumagamit ng hardware wallet ay nabigla ng kamakailang Coldcard exploit. Ang ilan sa 233,000 BTC na umalis sa mga wallet ng pangmatagalang may hawak sa paligid ng paglabag sa Coldcard, na nagkakahalaga ng humigit-kumulang $15 bilyon, ay nagmula sa mga may-ari ng Ledger at Trezor sa halip na mga customer ng Coldcard, lumipat sa mga multi-signature setup matapos mapanood ang paglalahad ng exploit, ayon kay Casa.

Sinabi ng Trezor na isusulong nila ang opsyon sa Anonymous na Paghahatid gamit ang locker pickup, neutral na packaging, generic na detalye ng nagpadala, at awtomatikong pagtanggal ng mga identifier ng pagpapadala, na target ang European Union sa Setyembre at ang Estados Unidos sa pagtatapos ng taon.