Outros 67.000 clientes da Trezor tiveram seus nomes, endereços de e-mail, números de telefone, endereços residenciais e números de pedido expostos na violação ocorrida na ShipMonk, empresa responsável pela logística de envio, divulgou nesta sexta-feira a fabricante da carteira de hardware.
Todos os clientes afetados estão nos EUA e realizaram pedidos entre novembro de 2019 e agosto de 2021, o que significa que alguns dos registros expostos datam de quase sete anos atrás. A ShipMonk comunicou a descoberta há dois dias.
A Trezor havia solicitado e recebido, repetidamente, confirmação por escrito de que esses registros haviam sido excluídos — em conformidade com seu contrato e política de dados — e declarou-se decepcionada ao saber que isso não havia ocorrido.
Ao divulgar a violação em agosto, a empresa atribuiu o alcance limitado do incidente a uma política de exclusão de 90 dias, a qual afirmava ter negociado nos termos contratuais com seus parceiros de logística. Essa alegação agora parece consideravelmente mais frágil. O número de afetados saltou de 13.689 para aproximadamente 80.700.
Proprietários de carteiras enfrentam múltiplas ameaças
Os sistemas da própria Trezor não foram invadidos; dispositivos, chaves privadas e backups das carteiras permanecem intactos. O perigo reside no fato de que os registros identificam proprietários confirmados de carteiras de hardware associados a endereços residenciais específicos. Além de e-mails, ligações e cartas fraudulentas, a Trezor alertou os clientes afetados sobre riscos à sua segurança física e reiterou que o backup de uma carteira nunca deve ser compartilhado ou digitado em sites.
Proprietários de carteiras Trezor e de sua concorrente, a Ledger, já vinham recebendo cartas falsas em fevereiro — contendo hologramas, códigos QR e assinaturas forjadas de executivos — que exigiam a ativação de uma verificação de segurança fictícia sob pena de perda de acesso às carteiras.
Na ocasião, o consultor de segurança cibernética David Sehyeon Baek disse ao site Decrypt que uma carta contendo nome e endereço residencial sinaliza “podemos localizá-lo”, e que dados roubados permanecem úteis por anos, visto que as pessoas raramente mudam de casa ou de número de telefone.
A invasão teve origem em uma falha crítica de injeção SQL na ferramenta de análise Metabase, divulgada em 6 de agosto, que permitia a invasores não autenticados roubar credenciais de bancos de dados conectados. A fabricante de notebooks Framework e a plataforma de criação de formulários Tally também foram atingidas pela mesma onda de ataques. Segundo relatos, a ShipMonk recebeu e-mails de extorsão atribuídos ao grupo ShinyHunters, embora essa autoria ainda não tenha sido confirmada.
A Trezor informou que está trabalhando para disponibilizar o quanto antes a opção de entrega anônima — utilizando retirada em armários inteligentes (lockers), embalagem neutra e dados genéricos do remetente —, de modo que os compradores não precisem fornecer seu endereço residencial.
* Traduzido e editado com autorização do Decrypt.
A porta de entrada para o bitcoin, a maior criptomoeda do mundo, está no MB. É simples, seguro e transparente. Deixe de adiar um investimento com potencial gigantesco. Invista em poucos cliques!