La brecha de seguridad de Trezor en agosto es aproximadamente seis veces mayor que lo anunciado inicialmente, después de que el fabricante de monederos físicos afirmara el 4 de septiembre que los datos de contacto y de pedidos de unos 67.000 clientes estadounidenses adicionales habían quedado expuestos a través de su proveedor logístico ShipMonk. El comunicado original del 13 de agosto contabilizó 11.742 clientes con exposición total y 1.947 con exposición parcial, y ambos grupos implican en conjunto unas 80.689 personas afectadas, aunque Trezor no ha publicado una única cifra conjunta ni ha confirmado si existe solapamiento entre ambos grupos. Los registros recién revelados corresponden a pedidos estadounidenses realizados entre noviembre de 2019 y agosto de 2021 e incluyen nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido, un nivel de detalle identificativo capaz de vincular a una persona con una compra concreta de un monedero físico.
Por qué importa
Trezor afirmó que sus propios sistemas, productos y dispositivos seguían siendo seguros, y que los campos expuestos correspondían a datos de contacto y de pedidos, no a semillas de recuperación, claves privadas ni fondos de los monederos. El riesgo, en cambio, se concentra en el entorno del usuario. ShipMonk conservó los registros históricos mucho después del plazo de eliminación de 90 días de Trezor, pese a las reiteradas garantías por escrito de que los datos habían sido borrados. BleepingComputer informó de que ShipMonk atribuyó el acceso no autorizado a una vulnerabilidad de día cero en la plataforma de analítica Metabase, un fallo que podía crear una sesión vinculada a una cuenta de administrador y permitir descargas masivas de tablas. Una vez que ShipMonk reevaluó el incidente, los datos históricos conservados ampliaron el número de clientes de Trezor expuestos. El episodio demuestra que una política de eliminación del proveedor solo es tan sólida como la verificación que la respalda.
Impacto en el mercado
El conjunto de datos puede facilitar correos de phishing convincentes, llamadas y cartas fraudulentas y posibles ataques físicos dirigidos, vectores que agravan el riesgo en un contexto de allanamientos violentos de viviendas de usuarios de criptomonedas ya documentados en todo el sector. Trezor advirtió de estas posibles consecuencias en su actualización del 4 de septiembre, pero no identificó ningún ataque posterior confirmado vinculado al conjunto de datos, por lo que las consecuencias siguen siendo riesgos y no resultados documentados.
Preguntas frecuentes
-
¿Cuántos clientes de Trezor están afectados en total?
El comunicado original de agosto de Trezor abarcó a 13.689 clientes (11.742 con exposición total y 1.947 con exposición parcial), y la actualización del 4 de septiembre añadió unos 67.000 clientes estadounidenses más, lo que supone alrededor de 80.689 afectados en total, aunque Trezor no ha publicado una única cifra…
-
¿Qué datos quedaron expuestos en la brecha de Trezor?
Los registros expuestos incluyen nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido correspondientes a pedidos estadounidenses realizados entre noviembre de 2019 y agosto de 2021. Las semillas de recuperación, las claves privadas y los fondos de los monederos no…
-
¿La brecha comprometió los propios monederos físicos de Trezor?
No. Trezor afirmó que sus propios sistemas, productos y servicios no se vieron comprometidos y que los dispositivos siguen siendo seguros. La exposición se limita a los registros de envío del proceso logístico, no a la información del monedero en el dispositivo.
-
¿Cómo reaparecieron los registros de envío supuestamente eliminados?
El proveedor logístico ShipMonk conservó registros históricos mucho después del plazo de eliminación de 90 días de Trezor, pese a las garantías por escrito de que se habían borrado. BleepingComputer informó de que ShipMonk atribuyó el acceso no autorizado a una vulnerabilidad de día cero en la plataforma de analítica…
-
¿A qué riesgos se enfrentan los clientes afectados de Trezor?
El conjunto de datos puede facilitar correos de phishing convincentes, llamadas y cartas fraudulentas y posibles ataques físicos dirigidos. Trezor instó a los usuarios afectados a no compartir nunca las copias de seguridad de sus monederos ni introducirlas en sitios web.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
TheBlock
CoinDesk