A Trezor informou que o vazamento de dados ligado ao seu antigo provedor de envio pode ter afetado mais usuários do que a estimativa inicial de agosto, de 14 mil clientes expostos. Em publicação no X na sexta-feira, a fabricante de carteiras de hardware disse que outros 67 mil clientes nos Estados Unidos também tiveram dados comprometidos em registros de pedidos feitos entre novembro de 2019 e agosto de 2021.
A empresa atribuiu a ampliação do impacto a uma atualização de seu provedor de envio, a ShipMonk. Segundo a Trezor, o fornecedor teria mantido registros antigos de pedidos que deveriam ter sido excluídos.
Registros antigos da ShipMonk ampliam o grupo exposto
Segundo a Trezor, os dados completos dos clientes adicionais nos Estados Unidos foram expostos, incluindo nome, e-mail, número de telefone, endereço de entrega e detalhes do pedido. A empresa responsabilizou a ShipMonk por não excluir os dados desses pedidos, apesar de afirmar que havia recebido garantias por escrito de que a exclusão havia sido realizada.
A Trezor também informou que seus próprios sistemas não foram comprometidos no episódio. O caso ocorre após outro incidente comunicado pela empresa em janeiro de 2024, quando cerca de 66 mil usuários que haviam contatado a equipe de suporte desde dezembro de 2021 foram considerados em risco de ataques de phishing. Esse episódio envolvia um canal de atendimento e é distinto do vazamento relacionado ao provedor de envio.
Dados de contato e de pedidos podem ser usados para tornar tentativas de fraude mais convincentes. Embora o vazamento não indique comprometimento direto das carteiras, as informações expostas podem permitir que criminosos se apresentem como a empresa em mensagens direcionadas aos clientes.
Buscando a próxima moeda 100x?O risco está nos golpes direcionados, não em uma invasão das carteiras
Para usuários que guardam ativos em uma Trezor, o risco apontado pela empresa está no uso dos dados vazados em campanhas de phishing. Os invasores podem se passar pela Trezor e tentar convencer clientes a revelar suas seed phrases, ou frases-semente, que controlam o acesso às carteiras. A fonte não indica que chaves privadas tenham sido comprometidas diretamente.
Ataques de phishing e engenharia social não exigem necessariamente a exploração de vulnerabilidades no código das carteiras. Em vez disso, dependem de falsificação de identidade e de interações capazes de induzir a vítima a entregar informações ou aprovar ações maliciosas.
Segundo a empresa de segurança de blockchain Hacken, golpes baseados em falsificação de identidade responderam por US$ 306 milhões dos US$ 482 milhões perdidos pela indústria cripto no primeiro trimestre do ano. Os números destacam a relevância desse tipo de fraude para o setor.
Em julho, um investidor de cripto perdeu quase US$ 1 milhão após assinar uma transação maliciosa de aprovação de token por phishing na Ethereum. O caso ilustra como uma interação enganosa pode gerar perdas mesmo sem uma falha técnica direta no hardware utilizado para armazenar ativos.
- Clientes afetados devem considerar com cautela contatos que aleguem ser da Trezor e solicitem frases-semente ou outras informações de acesso.
O post Dados antigos expõem mais clientes da Trezor nos EUA apareceu primeiro em CriptoFacil.