Die Zahl der Trezor-Kunden, die von einer Sicherheitspanne beim Logistikanbieter ShipMonk betroffen sind, ist nach einer Untersuchung auf etwa 81.000 gestiegen, die zehntausende ältere Kundendaten aufgedeckt hat, die eigentlich gelöscht werden sollten.
Trezor gab den Vorfall zunächst am 13. August bekannt und berichtete, dass fast 14.000 Kunden betroffen waren. Der Hersteller von Hardware-Wallets hat nun bekannt gegeben, dass ShipMonk am 2. September mitgeteilt hat, dass auch Informationen von weiteren 67.000 Kunden in den Vereinigten Staaten offengelegt wurden.
Die neu identifizierte Gruppe besteht aus Personen, die zwischen November 2019 und August 2021 Trezor-Bestellungen aufgegeben haben. Offengelegte Datensätze umfassen Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern.
Die Entdeckung ist besonders bedeutsam, weil Trezor sagt, dass diese älteren Informationen nicht in den Systemen von ShipMonk verbleiben sollten. Das Unternehmen verlangt von Fulfillment-Partnern, Bestellinformationen 90 Tage nach Lieferung zu löschen oder zu anonymisieren.
Laut Trezor suchte es wiederholt die Bestätigung, dass ShipMonk die Informationen entfernt hatte, und erhielt schriftliche Zusicherungen, dass die Löschung stattgefunden hatte. Die jüngste Untersuchung zeigte, dass die Unterlagen stattdessen vom Logistikanbieter gespeichert blieben.
Die ursprüngliche Offenlegung im August betraf neuere Bestellungen. Trezor sagte, 11.742 Kunden hätten ihre Namen, E-Mail-Adressen, Telefonnummern und Versandadressen offengelegt, während weitere 1.947 Personen eine kleinere Informationsmenge kompromittiert hatten, bestehend aus Namen, Städten und E-Mail-Adressen.
Trezors eigene Infrastruktur wurde nicht gehackt, und der Vorfall beeinträchtigt weder die Sicherheit seiner Hardware-Wallets noch der darin gespeicherten Kryptowährung. Die von ShipMonk erhaltenen persönlichen Informationen könnten jedoch nützliches Material für gezieltes Phishing und Social Engineering liefern.
Angreifer könnten Namen, Kontaktdaten, Kaufdetails und Adressen nutzen, um Kommunikationen, die Trezor imitieren, überzeugender wirken zu lassen. Kunden wurden daher davor gewarnt, gegenüber unerwarteten E-Mails, Telefonanrufen und physischen Briefen misstrauisch zu sein. Die Offenlegung von Wohnadressen kann auch zusätzliche physische Sicherheitsrisiken für Kryptowährungsbesitzer schaffen.
Trezor hat Kunden, die in der erweiterten Offenlegung enthalten sind, kontaktiert. Das Unternehmen betont weiterhin, dass Nutzer niemals ihr Wallet-Backup oder ihren Wiederherstellungsseed als Reaktion auf unerwünschte Kommunikation offenlegen sollten.