ハードウェアウォレットメーカーのTrezorは、物流サービスプロバイダの侵入が13689の顧客による注文情報の開示につながりました。 これらのうち、名前、郵便受け、電話番号、および11,742人の領収書の住所は、1947人の名前、都市、郵便為替であったため、公開されました。 これらの影響を受けたユーザーは、米国、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルで10月と8月の間に受け取った注文を受けた。

Trezorは、独自のシステムと機器が侵害されていないと強調し、ユーザーの ' s プライベートキーとハードウェアウォレットが安全に残っていると強調した。 これは技術的に重要であるが、それは無害にすることはできません。 通常の電気技師にとって、住所の開示はハラスメントと不正を意味します。ハードウェアウォレットを公然と保持している人にとって、それはまた、真のアイデンティティ、アドレス、および「正当に暗号化された資産を保持する」と結びつけるかもしれません。オンライン釣りから現実世界への危険性を拡張しています。

攻撃者はチップを解読する必要はありませんでした。また、参照を見つける必要があります。 対象となるメール、電話、紙ベースの対応、ウォレットメーカー、銀行、または取引所を偽装し、個人がTrezorを購入した場所、彼が住んでいる場所、電話、メールボックスを提示することで、高度にターゲティングされたメール、電話、紙ベースの対応を作成することができます。 彼らの注文の詳細を見るとき、彼らはアカウント情報を持っていることを信じる犠牲者にとっては簡単です。 財布自体がより安全であるほど、攻撃者は機器を迂回し、その持ち株を直接攻撃する可能性が高い。

サプライチェーンはパッケージ情報を保持しませんでしたが、アセットトレイル。

Trezorおよびセキュリティメディアによると、事故はサードパーティのパフォーマンスサービスプロバイダ、ShipMonkで行われた。 ShipMonkは、システムが承認なしにアクセスされたことを8月10日にTrezorに通知しました。さらに、攻撃者が第三者の分析プラットフォームMetabaseを使用してクライアントデータにアクセスしたことを通知しました。 言い換えれば、ウォレットメーカーから物流プロバイダにデータが流れ、分析ツールに入り、各レベルのサービスで攻撃面が拡大しました。

物流会社は確かに商品を提供するための名前と住所を必要としますが、必ずしも完全な注文、電話番号、製品カテゴリを長期にわたって保持する必要はありません。また、分析プラットフォームは、個人を直接識別する情報を確認する必要があります。 便利な運用ステートメントは、企業が同じシステムにより多くのフィールドを集中し、暗号化されたハードウェアクライアントのために、製品名はそれ自体に機密ラベルです。 従来の電気技師は注文プロパティとして表示しますが、攻撃者は潜在的な資産所有者のリストとして表示することができます。

これは、ハードウェアウォレット業界が同様の問題を経験した初めてではありません。 2020年、Ledgerは1万件以上のメールボックスをリークし、1万件近くの顧客に対して連絡先の詳細を漏らし、ユーザーに対して釣りや脅威を追跡しました。 また、Térezorは、2024年にサードパーティの旅客サービスリストプラットフォームを訪問しました。また、顧客サービスとやり取りした66,000人のユーザーが、その名前、ユーザー名、メールボックスを明らかにする可能性がある可能性があります。 一般的なデノミネーターは、民間のキーセキュリティシステムが強く、販売、旅客サービス、物流データが通常のインターネット会社アプローチに従うことです。

資金の直接盗難の証拠はなかったし、すべての買い手はハイネットの所有者とみなすことができます。 しかし、セキュリティモデルは、発生したチェーンロスのみを計算できません。 アドレス、電話、機器ブランドは、長年にわたり引き続き使用でき、パスワードと同じ方法でデータをリセットすることはできません。 攻撃者は、漏洩した情報をソーシャルメディア、オープンチェーンのアドレス、またはその他のデータセットと組み合わせて、ターゲットイメージの精度を徐々に高めることができます。

実際の保管は、次の注文時に開始する必要があります。

製造業者にとって、最初のステップは「設備のセキュリティ」に重点を置きませんが、注文データを非常に機密性の高い情報として扱うためです。 保持期間は、アイデンティティ情報から分離された製品カテゴリを短縮することができ、物流プロバイダは配布を完了するために必要な最小限のフィールドだけを提供し、サードパーティのシステムがエクスポート、クエリ、管理者アクセスの完全な監査を残す必要があります。 ニーズの分析は、すべての顧客情報を一般的なビジネスインテリジェンスプラットフォームにコピーするのではなく、非注目のデータの使用を優先すべきです。

Vendorsは、ユーザーが自己参照、郵便局の箱を掲示したり、特定の製品のためのパッケージおよび請求の説明を表示したりしないことなど、プライベートな配布プログラムを使用するのも簡単です。 リーク後、通知は単に「釣りを見る」と言うことができませんが、影響を受けたフィールド、時間枠、発生する可能性のある攻撃の種類、公式はアシストノートや資産の転送を尋ねることはありません。 より具体的には、より多くのユーザーが不正を識別することができます。

ユーザーにとって、ハードウェアウォレットが壊れていないという事実は、アラームが無視できるという意味ではありません。 補助的な単語を入力する必要がある情報、ウォレットの復元、リモート認証機器の復元、または「安全なアドレス」に通貨を転送する情報は、不正とみなされるべきです。 Térezorに関するコールまたは電子メールの受領時に、公式アドレスを入力するか、メッセージのリンクをクリックすることなく、既知のチャンネルに連絡する必要があります。 完全なアドレスが明らかにされた場合、異常な小包、戸戸ごと販売およびアイデンティティの不正に関する警戒を高める必要があります。

ハードウェアウォレットは、プライベートキーがネットワーク機器から隔離される点で販売されていますが、単一購入は、支払い、倉庫、物流、旅客サービスと分析プラットフォームの長いデータトレイルを残します。 チップの単なる保護は、供給チェーンに沿って顧客の ' s の身元を残しながら、完全な自己管理セキュリティを構成するものではありません。 ハードウェアウォレットの値を上回るよりもむしろ、Trezorインシデントは、その次のデフェンスクリアラーの行を作りました。実際のコールドストレージは、プライベートキーだけでなく、可能な限り「誰がそれを所有しています」。