Trezor : 13 000 клиентов подверглись утечке данных из-за взлома у его логистического провайдера

Производитель аппаратных кошельков Trezor подтверждает, что данные 13 000 европейских клиентов — имена, адреса, электронные адреса — были exposed в результате уязвимости у его логистического провайдера. Supply chain hardware наносит удар снова.

Контекст

Trezor, производитель аппаратных кошельков (физических криптовалютных кошельков), подтверждает утечку данных, затронувшую 13 000 европейских клиентов. В результате утечки стали доступны имена, адреса и электронные почты. Источник утечки: не сам Trezor, а его логистический провайдер — сторонний поставщик в цепочке поставок.

Данные

• 13 000 клиентов (Европа)
• Утекшие данные: имена, адреса, электронные почты
• Вектор атаки: сторонний логистический провайдер (не сам Trezor)
• Источник: The Register

Анализ

Формулировка The Register идеально резюмирует урок: "Even if your hardware is secure, quantum-ready, encrypted, and future-proof, no one is immune to a supplier letting the side down."

Вот парадокс аппаратного кошелька: вы покупаете устройство именно ради максимальной безопасности — изоляции ключей, устойчивости к сетевым атакам, проверяемого прошивки — а утекают адреса клиентов из-за перевозчика. Угроза была не криптографической: она была логистической.

Этот шаблон хорошо задокументирован в нашем мониторинге цепочки поставок hardware. Слабое звено — не продукт, а сторонний провайдер — логистика, сервисное обслуживание, дистрибьютор — который обрабатывает данные клиентов без таких же стандартов безопасности.

Конкретный риск для 13 000 пострадавших: целевой фишинг. Злоумышленник, знающий ваш почтовый адрес и то, что у вас есть аппаратный кошелек для криптовалют, понимает, что у вас, вероятно, есть цифровые активы для атаки. Фишинговые письма, подделывающие Trezor, вскоре последуют.

Что делать, если вы клиент Trezor

• Максимальная осторожность ко всем письмам или письмам, претендующим на происхождение от Trezor
• Никогда не вводите вашу seed-фразу (24 слова) на устройстве, кроме как на вашем физическом Trezor
• Активируйте passphrase (25-е слово) на вашем Trezor, если это ещё не сделано — дополнительная защита даже в случае кражи устройства