أكدت تريزور يوم الخميس أن خرقاً في أحد شركاء الشحن كشف بيانات شخصية تخص 13 689 عميلاً. تمت سرقة الأسماء والعناوين المنزلية وأرقام الهواتف وعناوين البريد الإلكتروني.
وضّح تريزور أن العملات الرقمية لم تتحرك. قال تريزور إن أنظمته الخاصة وأجهزته ونسخ احتياطية لمحافظ العملاء لم تتأثر أبداً. الضرر كان من نصيب بائع خارجي.
ما الذي كشفه اختراق بيانات تريزور
تتولى شيبمونك تخزين وشحن طلبات تريزور. في 10 أغسطس، أبلغت شيبمونك تريزور أن متسللاً اخترق أنظمة تحتوي على سجلات العملاء.
ينقسم حجم التسريب إلى قسمين. فقد حوالي 11 742 مشترياً كل شيء، أي الاسم والبريد الإلكتروني ورقم الهاتف وعنوان الشحن الكامل. بينما فقد 1 947 عميلاً فقط الاسم والمدينة والبريد الإلكتروني.
يحدد التوقيت من تم استهدافه. يغطي التسريب الطلبات التي تم توصيلها بين 10 مايو و8 أغسطس من هذا العام في الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال.
استثني المشترون القدماء بفضل قاعدة معينة. يشترط تريزور على الشركاء حذف أو إخفاء بيانات الطلبات بعد 90 يوماً من التسليم، لذا تم مسح الشحنات السابقة بالفعل.
طبّق اختباراً بسيطاً واحداً. تلقى العملاء المتضررون بريداً إلكترونياً من [email protected]. إذا لم يصلك بريد إلكتروني، لم تتعرض بياناتك للتسريب.
يؤلم تفصيل واحد فقط. تحمل شيبمونك شهادة SOC 2 Type II، وهو معيار أمني خضع للتدقيق، ومع ذلك تم اختراقها.
لماذا يشكّل تسريب العنوان خطراً أكبر من تسريب البريد الإلكتروني
يمنح البريد الإلكتروني وحده القليل للمحتالين. أما الاسم والعنوان المنزلي ورقم الهاتف سوياً، فيشكلون خطورة أكبر بكثير. يعرّفون شخصاً محدداً عند باب محدد كمشتري عملات رقمية.
أوضح تريزور السيناريو الكامل. يمكن للمحتالين إرسال رسائل بريد إلكتروني وهمية، أو إجراء مكالمات مزيفة، أو إرسال رسائل احتيالية، أو انتحال صفة بنك أو منصة تداول أو تريزور نفسه.
يتكرر هذا النمط في التاريخ. فقدت ليدجر تقريباً 1 مليون بريد إلكتروني لعملائها في يوليو 2020. وتعرضت بيانات 9 500 من هؤلاء العملاء لتسريب عناوينهم البريدية الكاملة، ووصلت إليهم لاحقاً رسائل استعادة مزيفة بعد سنوات.
قارن الآن حجم التسريب. كشف اختراق تريزور عناوين كاملة لـ 11 742 شخصاً، وهو أكثر من 9 500 عميل لليدجر تعرضوا للضرر عام 2020.
ردّ باسكال غوتييه، الرئيس التنفيذي لليدجر على التخوف ذاته عام 2020، وما زال نفس المنطق قائماً.
ذكرت ليدجر في إعلانها أنه لا توجد طريقة لربط البيانات المسربة بالأموال الموجودة في محفظتك. اطلع على مقتطف في إعلان ليدجر.
راقِب بالفعل المهاجمون العلامة التجارية عن كثب. ظهر إعلان تصيّد احتيالي حديث لـTrezor قبل أيام من هذا الكشف. من جهة أخرى، أدت عمليات الاحتيال عبر مكالمات الدعم الفني الوهمية إلى سرقة ملايين من حاملي العملات هذا العام.
استمر البائعون في إثبات أنهم الحلقة الأضعف. أدت خرق بيانات معالج مدفوعات Ledger إلى تسريب بيانات طلبات العملاء في يناير.
ما الذي يجب أن يفعله مالكو Trezor الآن
تتسم النصيحة بالاختصار والفعالية. اعتبر وجود حالة استعجال بمثابة إشارة خطر. تحقق من أي أمر غريب عبر القنوات الرسمية لـTrezor. لا تكتب أبداً نسخة احتياطية من محفظتك على أي موقع إلكتروني.
كتب Trezor في مدونة أن "لا تدخل أبداً نسخة النسخ الاحتياطي لمحفظتك على موقع إلكتروني أو تشاركها مع أي شخص".
اتبع عادتين تقللان من احتمالية التعرض مستقبلاً. اطلب باستخدام بريد إلكتروني لا يحمل اسمك الحقيقي، وادفع بالعملات المشفرة متى أمكن ذلك.
وعد Trezor أيضاً بخيار توصيل مجهول الهوية يعتمد على الاستلام من خزينة وتغليف محايد. يستهدف هذا الخيار الاتحاد الأوروبي بحلول سبتمبر والولايات المتحدة مع نهاية 2026.
صرّح Trezor أن هذا هو أول خرق منذ 2013 يكشف أرقام هواتف العملاء وعناوين الشحن الخاصة بهم. لا يزال الجهاز نفسه آمناً. نقطة الضعف لم تكن في الجهاز، بل في الصندوق الذي وصل فيه.
