A Trezor indicou que aproximadamente 67.000 clientes adicionais nos Estados Unidos foram afetados numa atualização de 4 de setembro sobre uma violação na ShipMonk, o seu fornecedor de expedição. Os registos incluíam encomendas de 2019 a 2021, elevando o total reportado para 80.689 clientes. A Trezor afirmou que os seus sistemas e dispositivos não foram afetados, o conteúdo das encomendas não foi exposto e nenhum fundo foi roubado. Apenas dados de contacto e detalhes de entrega foram divulgados.
O incidente deixa intacta a camada de controlo direto da wallet, mas não necessariamente o seu proprietário. As hardware wallets guardam as chaves privadas de Bitcoin num dispositivo dedicado, mas as palavras de recuperação podem restaurar o acesso noutro local. Um atacante que consiga convencer um proprietário a partilhar essas palavras pode contornar as proteções do dispositivo.
Por que importa
Um nome, endereço e encomenda reconhecível não provam que alguém ainda possui Bitcoin nem revelam um saldo. Podem, isso sim, tornar credível um email, carta ou pedido de suporte falso. Campanhas de phishing da Ledger usaram correio físico para encaminhar destinatários para sites que pedem palavras de recuperação, transformando dados de entrega numa ferramenta de engenharia social.
Os registos de expedição podem também sobreviver em réplicas de bases de dados, exportações de suporte, cópias de segurança e sistemas de contratantes após a entrega. A ShipMonk deu à Trezor garantias escritas de que os registos foram eliminados, mas uma garantia não é prova direta de que todas as cópias desapareceram.
Impacto no mercado
A Trezor não reportou perdas diretas nos seus dispositivos ou em saldos de Bitcoin. O risco concreto é phishing direcionado para os clientes afetados, que podem receber mensagens contendo detalhes que um estranho não deveria conhecer. Cacifos de encomendas, embalagem neutra e dados de contacto separados podem reduzir a exposição futura, enquanto os fabricantes precisam de períodos de retenção mais curtos e provas de que os fornecedores removem registos antigos.
Perguntas frequentes
-
Que informação foi exposta na violação da ShipMonk?
Os dados divulgados limitaram-se a contactos e detalhes de entrega dos clientes. A Trezor afirmou que os seus sistemas, dispositivos e conteúdo das encomendas não foram afetados.
-
Foram expostas chaves privadas de Bitcoin ou fundos no incidente?
Não. A Trezor afirmou que os seus sistemas e dispositivos não foram afetados, o conteúdo das encomendas não foi exposto e nenhum fundo foi roubado ou desviado.
-
Como é que detalhes de envio podem tornar o phishing de Bitcoin mais convincente?
Um nome, endereço e encomenda reconhecível podem tornar credível um email, carta ou pedido de suporte falso. Essa credibilidade pode ser usada para pedir palavras de recuperação.
-
Porque é que as garantias de eliminação da ShipMonk não são conclusivas?
Os dados de envio podem permanecer em réplicas de bases de dados, exportações de suporte, cópias de segurança e sistemas de contratantes após a entrega. Uma garantia escrita não prova diretamente que todas as cópias foram removidas.
-
O que podem fazer os compradores de hardware wallets para reduzir a exposição futura?
Os compradores podem usar cacifos de encomendas, embalagem neutra e dados de contacto separados, verificar mensagens de forma independente e nunca partilhar palavras de recuperação. Os fabricantes também podem limitar a retenção e exigir provas de que os fornecedores eliminam registos antigos.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
CoinDesk