Компания Trezor сообщила о двух инцидентах, связанных с внешними поставщиками, в результате которых были скомпрометированы данные клиентов.

Неисправность в устройстве COLDCARD и модифицированное устройство Ledger представляли угрозу для средств пользователей.

После подтверждения инцидента с Keystone в эти выходные, общее число компаний, производящих аппаратные кошельки для биткоина и других криптовалют, столкнувшихся с проблемами безопасности в течение 2026 года, достигло шести. Эти случаи включали утечки персональных данных, уязвимости в процессе генерации ключей и модифицированные устройства, предназначенные для перехвата фраз восстановления.

Хронология событий, включающая в себя кражу данных у Keystone, подтвержденную в эти выходные, также включает инциденты, связанные с Ledger, COLDCARD, Trezor, SafePal и BitBox. Однако, последствия этих инцидентов были разными: в некоторых случаях были скомпрометированы контактные данные и информация о заказах, в других – непосредственно безопасность средств.

РЕКЛАМА

На этих выходных пострадала компания Keystone. В субботу, 24 октября, компания сообщила о несанкционированном доступе к своему веб-сайту, в результате которого были раскрыты данные, связанные с клиентами и заказами, включая контактную информацию и адреса доставки. Компания заявила, что личные ключи и фразы восстановления не были скомпрометированы.

5 января была зафиксирована утечка данных в Global-e, поставщике услуг электронной коммерции, используемом компанией Ledger. В результате инцидента была раскрыта информация о клиентах, включая имена, контактные данные, адреса доставки и детали заказов.

Через несколько месяцев, 13 августа, компания Trezor сообщила об утечке данных, связанной с ShipMonk, поставщиком логистических услуг. Позднее компания расширила масштабы инцидента и подтвердила, что скомпрометированная информация затронула 80 689 клиентов.

16 августа компания SafePal сообщила об уязвимости в своей системе отслеживания заказов. Эта проблема позволила получить доступ к информации примерно о 39 798 клиентов, включая имена, адреса, контактные данные и детали покупок.

Затем, другие две компании, производящие физические кошельки, сообщили об инцидентах, связанных с Brevo, внешней платформой для управления электронной почтой. Также в августе компания Trezor подверглась несанкционированному доступу к своей учетной записи на этой платформе. Данные десятков тысяч клиентов были скомпрометированы. Этот инцидент также был связан с фишинговыми кампаниями, в ходе которых злоумышленники пытались обманом заставить пользователей предоставить конфиденциальную информацию, связанную с их кошельками.

24 сентября компания BitBox сообщила о подобном инциденте. Злоумышленники скачали адреса электронной почты подписчиков и использовали их для рассылки фишинговых сообщений. Компания заявила, что этот инцидент не затронул ее устройства или внутренние системы.

Эти случаи показывают, как утечка данных, казалось бы, незначительная, может стать отправной точкой для последующих атак. Зная адрес электронной почты пользователя, интересующегося биткоином или самостоятельным хранением криптовалюты, можно отправлять мошеннические сообщения, имитирующие официальные коммуникации производителей.

Хотя в этих случаях средства пользователей напрямую не были скомпрометированы, были и другие инциденты, которые привели к таким последствиям.

РЕКЛАМА

Случаи, связанные с COLDCARD и Ledger, вышли за рамки простой утечки информации о пользователях: 30 июля была раскрыта уязвимость, связанная с генерацией криптографических ключей в устройстве COLDCARD. Недостаточная случайность могла позволить восстановить приватные ключи затронутых кошельков и, в определенных условиях, облегчить кражу средств. Сумма убытков, оцениваемая примерно в 116 миллионов долларов, является показателем масштаба этой проблемы.

Затем, 10 октября, компания Ledger подтвердила случай физического вмешательства в устройство, проданное одним из дистрибьюторов. Устройство содержало несанкционированный компонент, способный перехватывать фразы восстановления во время настройки и передавать их третьим лицам.