Outros 67.000 clientes da Trezor tiveram seus nomes, endereços de e-mail, números de telefone, endereços residenciais e números de pedido expostos na violação de dados da provedora de logística ShipMonk, conforme informado pela fabricante de carteiras de hardware na sexta-feira.

Todos eles estão nos EUA, e todos fizeram pedidos entre novembro de 2019 e agosto de 2021, fazendo com que alguns dos registros expostos tenham quase sete anos. A ShipMonk transmitiu a descoberta há dois dias.

A Trezor pediu e recebeu repetidamente a confirmação por escrito de que esses registros haviam sido excluídos, de acordo com seu contrato e política de dados, e disse estar desapontada ao saber que não haviam sido.

Quando divulgou a violação em agosto, a empresa atribuiu seu escopo limitado a uma política de exclusão de 90 dias que, segundo ela, havia negociado nos termos de seus parceiros de fulfillment. Essa afirmação agora parece consideravelmente mais fraca. A contagem passou de 13.689 para aproximadamente 80.700.

Proprietários de carteiras enfrentam múltiplas ameaças

Os sistemas da Trezor não foram violados, e os dispositivos, chaves privadas e backups de carteiras estão intactos. O perigo é que os registros identificam proprietários confirmados de carteiras de hardware em endereços específicos. Além de e-mails, chamadas e cartas falsas, a Trezor alertou os clientes afetados sobre riscos à sua segurança física e reiterou que um backup de carteira nunca deve ser compartilhado ou digitado em um site.

Proprietários de carteiras de hardware Trezor e da concorrente Ledger já estavam recebendo cartas falsificadas em fevereiro, impressas com holograms, códigos QR e assinaturas executivas forjadas, exigindo que ativassem uma verificação de segurança fictícia ou perderiam o acesso às suas carteiras.

Na época, o consultor em crimes cibernéticos David Sehyeon Baek disse à Decrypt que uma carta contendo nome e endereço residencial sinaliza "podemos localizá-lo", e que dados roubados permanecem úteis por anos porque as pessoas raramente se mudam ou mudam seus números.

A intrusão remonta a uma falha crítica de injeção de SQL na ferramenta de análise Metabase, divulgada em 6 de agosto, que permitiu que atacantes não autenticados roubassem credenciais para bancos de dados conectados. A fabricante de laptops Framework e o criador de formulários Tally foram pegos na mesma onda. A ShipMonk teria recebido e-mails de extorsão atribuídos a ShinyHunters, embora essa atribuição permaneça não confirmada.

A Trezor disse que está trabalhando para implementar a entrega anônima o mais rápido possível, uma opção que utiliza retirada em armários, embalagem neutra e detalhes de remetente genéricos, para que os compradores não precisem fornecer um endereço residencial.