Производитель аппаратных криптокошельков* Trezor сообщил об утечке персональных данных клиентов после взлома систем логистического партнера ShipMonk. Инцидент затронул 13 689 покупателей, получивших заказы в течение 90 дней до 8 августа 2026 года.

У 11 742 клиентов оказались раскрыты полные имена, электронная почта, номера телефонов и адреса доставки, еще у 1 947 — имя, город и электронная почта. Масштаб инцидента удалось ограничить в том числе благодаря политике Trezor, согласно которой данные о заказах хранятся у компании и ее логистических партнеров 90 дней.

Собственная инфраструктура Trezor, по данным компании, взломана не была, а аппаратные кошельки и хранящиеся с их помощью криптоактивы остаются защищенными. Основным риском теперь становятся фишинговые** атаки: наличие у злоумышленников одновременно имени, телефона, электронной почты и физического адреса позволяет создавать значительно более убедительные сообщения от имени Trezor, криптобирж или банков.

Это не первый инцидент вокруг клиентских данных Trezor. В январе 2024 года несанкционированный доступ произошел в сторонней системе технической поддержки компании. Тогда потенциально были раскрыты имена и электронные адреса пользователей, обращавшихся в поддержку, а злоумышленник успел связаться с 40 клиентами и попытался получить их seed-фразы. По данным Trezor, сами seed-фразы переданы не были.

Еще один заметный эпизод произошел в 2022 году, когда после компрометации используемого Trezor сервиса Mailchimp пользователям начали рассылать фишинговые письма с предложением установить якобы новую версию Trezor Suite. Компания тогда также подчеркивала, что средства пользователей остаются защищенными, пока они не раскрывают seed-фразу мошенникам.

Нынешний случай потенциально чувствительнее предыдущих именно из-за утечки адресов доставки и телефонных номеров. Trezor заявляет, что впервые с момента основания компании в 2013 году в результате подобного инцидента оказались раскрыты физические адреса и телефоны клиентов. Пострадавших пользователей уже уведомили, расследование продолжается.

*Аппаратный кошелек — это физическое устройство, похожее на флешку, которое хранит ключи доступа к криптовалюте в офлайн-режиме. Оно считается одним из самых безопасных способов хранения цифровых активов, так как защищено от хакерских атак через интернет.

**Фишинг — это вид интернет-мошенничества, при котором злоумышленники рассылают поддельные сообщения от имени известных брендов. Цель такой атаки — обманом заставить пользователя раскрыть пароли, данные банковских карт или секретные фразы для доступа к кошельку.