Trezor confirmó el jueves que una filtración en una de sus empresas de envíos expuso los datos personales de 13,689 clientes. Se llevaron nombres, direcciones de domicilio, números de teléfono y correos electrónicos.
No se movió ninguna criptomoneda. Trezor dice que sus propios sistemas, sus dispositivos y las copias de seguridad de los wallets de clientes nunca fueron tocados. El daño está en un proveedor externo.
Patrocinado
Patrocinado
¿Qué expuso la brecha de datos de Trezor？
ShipMonk almacena y envía los pedidos de Trezor. El 10 de agosto, informó a Trezor que un intruso había accedido a sistemas donde había registros de clientes.
La filtración se divide en dos partes. Unos 11,742 compradores perdieron toda su información: nombre, correo electrónico, número de teléfono y dirección completa de envío. Otros 1,947 perdieron solo nombre, ciudad y correo electrónico.
We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…
El momento de la compra decide quién fue afectado. La filtración cubre pedidos entregados entre el 10 de mayo y el 8 de agosto de este año en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal.
Los compradores de antes se salvaron debido a una regla. Trezor obliga a sus socios a borrar o anonimizar los datos de los pedidos 90 días después de la entrega, así que los envíos antiguos ya habían sido eliminados.
Patrocinado
Patrocinado
Un detalle que duele. ShipMonk tiene la certificación SOC 2 Tipo II, un estándar de seguridad auditado, y aun así fue hackeada.
¿Por qué una dirección filtrada es más grave que un correo filtrado？
Un correo electrónico por sí solo no sirve mucho para un estafador. Pero el nombre, la dirección de casa y el teléfono juntos permiten identificar a una persona real en una casa real como comprador de criptomonedas.
Trezor explicó el riesgo. Los estafadores pueden enviar correos falsos, realizar llamadas falsas, mandar cartas fraudulentas o hacerse pasar por un banco, un exchange o la propia Trezor.
Esto ya ha pasado antes. Ledger perdió alrededor de 1 millón de correos de clientes en julio de 2020. Unos 9,500 de esos compradores también vieron filtrados sus datos postales completos, y cartas falsas de seed phrase llegaron a sus casas años después.
Ahora compara la escala.La brecha de Trezor expuso direcciones completas de 11,742 personas, más que los 9,500 clientes de Ledger afectados en 2020.El CEO de Ledger, Pascal Gauthier, respondió el mismo temor en 2020, y la lógica todavía es válida.
“No hay manera de hacer ninguna correlación entre los datos filtrados y los fondos en tu wallet”, decía un extracto en el anuncio de Ledger.
Los atacantes ya tenían la marca en la mira. Un anuncio reciente de phishing de Trezor apareció días antes de esta revelación. Por otro lado, estafas de soporte telefónico falso ya han vaciado millones de holders este año.
Los proveedores siguen siendo el eslabón débil. Una filtración del procesador de pagos de Ledger expuso datos de pedidos de clientes en enero.
¿Qué deben hacer los usuarios de Trezor？
El consejo es corto y funciona. Trata cualquier urgencia como una señal de alerta. Verifica cualquier cosa rara con los canales oficiales de Trezor.Nunca escribas la copia de seguridad de tu wallet en ninguna página web.
“Nunca ingreses la copia de seguridad de tu wallet en una página web ni la compartas con nadie”, escribió Trezor en un blog.
Dos hábitos reducen el riesgo en el futuro: hacer el pedido con un correo que no tenga tu nombre real y pagar en criptomonedas si es posible.
Trezor también prometió una opción de entrega anónima con recogida en locker y paquete neutro. Esperan ofrecerla en la UE para septiembre y en Estados Unidos para finales de 2026.
Trezor dice que esta es la primera filtración desde 2013 que expone números de teléfono y direcciones de envío de clientes. El hardware sigue siendo seguro. El punto débil nunca fue el dispositivo, sino la caja en la que llegó.