Pelanggaran data di salah satu penyedia pengiriman Trezor telah mengekspos nama, nomor telepon, alamat email, dan alamat rumah ribuan pelanggan produsen dompet perangkat keras tersebut, demikian diungkapkan perusahaan pada hari Kamis.

ShipMonk, yang menyimpan dan mengirimkan produk Trezor, memberitahu perusahaan pada hari Senin bahwa pihak tidak berwenang telah mengakses sistem yang menyimpan data pelanggan. Sebanyak 11.742 pelanggan data lengkapnya diambil dan 1.947 lainnya nama, kota, dan alamat emailnya terekspos, dengan total 13.689. Mereka yang terpengaruh melakukan pemesanan antara 10 Mei dan 8 Agustus dan dikirimkan ke Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, atau Portugal.

Trezor menyatakan sistemnya sendiri tidak dikompromikan dan tidak ada perangkat, kunci pribadi, atau cadangan dompet yang tersentuh. Mereka mengaitkan ruang lingkup terbatas ini dengan kebijakan yang mengharuskan mitra untuk menghapus atau menganonimkan data pesanan 90 hari setelah pengiriman, yang berarti pesanan lama tidak lagi disimpan. Pelanggan yang tidak menerima email notifikasi tidak terpengaruh, katanya. Dalam 13 tahun, perusahaan menambahkan, belum pernah terjadi pelanggaran yang mengekspos nomor telepon pelanggan dan alamat pengiriman.

Phishing dan “serangan kunci inggris”

Peringatan Trezor berkaitan dengan phishing, dan mereka menasihati pelanggan untuk memperlakukan kontak yang tidak terduga dengan curiga dan tidak pernah memasukkan cadangan dompet secara online. Preseden tahun 2020 pada Ledger, pesaingnya, menunjukkan risiko ini lebih jauh dari sekadar email penipuan.

Setelah sekitar 272.000 pelanggan Ledger data nama, alamat, dan nomor teleponnya dipublikasikan, beberapa mulai menerima tuntutan tebusan yang mengancam kekerasan. Seseorang mengatakan kepada Decrypt bahwa mereka menerima beberapa email dan SMS setiap hari, sementara yang lain kemudian melaporkan menerima panggilan phishing dari orang-orang yang berbicara seolah-olah mereka mengenal mereka.

Ancaman-ancaman tersebut kini semakin banyak, dengan CertiK memverifikasi 52 serangan fisik terhadap pemegang kripto di seluruh dunia pada paruh pertama tahun 2026, meningkat dari 39 tahun sebelumnya, dan invasi rumah mengambil alih penculikan sebagai metode paling umum. Chainalysis menyebut jumlah yang dicuri lebih dari $30 juta selama periode yang sama dan mengatakan tahun ini berada di jalur untuk menjadi yang terburuk dalam catatan.

Ini bukan insiden pertama yang menyerang rantai vendor untuk dompet perangkat keras. Ledger mengungkapkan pelanggaran data di mitra e-commerce-nya sendiri, Global-e, pada bulan Januari, dan perusahaan dompet perangkat keras memperingatkan lonjakan phishing bulan ini karena kerugian dari eksploitasi Coldcard mendekati $130 juta.

Berita ini muncul ketika pengguna dompet perangkat keras dikejutkan oleh eksploitasi Coldcard baru-baru ini. Beberapa dari 233.000 BTC yang meninggalkan dompet pemegang jangka panjang di sekitar pelanggaran Coldcard, senilai sekitar $15 miliar, berasal dari pemilik Ledger dan Trezor daripada pelanggan Coldcard, yang beralih ke pengaturan multi-signature setelah menyaksikan eksploitasi tersebut terungkap, menurut Casa.

Trezor menyatakan akan meluncurkan opsi Pengiriman Anonim menggunakan pengambilan di loker, kemasan netral, detail pengirim generik, dan penghapusan otomatis pengidentifikasi pengiriman, menargetkan Uni Eropa pada bulan September dan Amerika Serikat pada akhir tahun.