Datalek bij verzendpartner Trezor legt gegevens van 13.689 klanten bloot

Hardware wallet maker Trezor waarschuwt duizenden klanten na een groot datalek bij logistiek partner ShipMonk. Persoonsgegevens van in totaal 13.689 klanten zijn daarbij ingezien door een onbevoegde partij. Het gaat onder meer om namen, e-mailadressen, telefoonnummers en woonadressen. De wallets zelf zijn volgens Trezor veilig, maar juist de combinatie van een fysiek adres en de wetenschap dat iemand een hardware wallet heeft gekocht, maakt het datalek gevoelig.

Persoonsgegevens van duizenden klanten gelekt

ShipMonk informeert Trezor op maandag 10 augustus over ongeautoriseerde toegang tot systemen waarin klantgegevens staan opgeslagen. Trezor gebruikt het bedrijf voor de opslag en verzending van hardwarewallets in verschillende landen.

Bij 11.742 klanten zijn de volledige naam, het e mailadres, telefoonnummer en verzendadres blootgesteld. Nog eens 1.947 klanten krijgen te maken met een gedeeltelijk datalek, waarbij naam, woonplaats en e mailadres zijn ingezien. In totaal gaat het om 13.689 mensen.

Het datalek raakt klanten in de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilië, Italië en Portugal die tussen 10 mei en 8 augustus 2026 een bestelling ontvingen.

De schade blijft volgens Trezor beperkt door het beleid om bestelgegevens na 90 dagen te verwijderen of anonimiseren. Ook logistieke partners moeten deze termijn hanteren. Oudere bestellingen stonden daardoor niet meer in de getroffen systemen.

Datalek doet denken aan Ledger

De situatie roept herinneringen op aan het grote datalek rond hardware wallet maker Ledger in 2020. Daarbij kwamen persoonsgegevens van honderdduizenden klanten op straat te liggen. Later verscheen een database met gegevens van meer dan 270.000 Ledger klanten online, waaronder namen, telefoonnummers en fysieke adressen.

De gevolgen van zo’n lek kunnen jaren aanhouden. Ledger gebruikers melden ook jaren na het oorspronkelijke datalek nog phishingmails, verdachte telefoontjes en andere pogingen waarbij criminelen zich voordoen als medewerkers van het bedrijf. Het laat zien waarom het lekken van klantgegevens van een hardware wallet bedrijf extra gevoelig is.

Bij Trezor ontstaat nu een vergelijkbaar risico voor de getroffen groep. Wie over de gelekte gegevens beschikt, weet niet alleen waar iemand woont, maar kan ook afleiden dat op dat adres iemand woont die een hardware wallet heeft besteld en dus mogelijk crypto bezit.

Dat betekent niet automatisch dat bekend is hoeveel crypto iemand heeft. Toch kan die informatie waardevol zijn voor criminelen. Naast digitale phishing ontstaat er daardoor ook een fysiek veiligheidsrisico.

Trezor waarschuwt voor gerichte phishing

De systemen, producten en hardware wallets van Trezor zelf zijn volgens het bedrijf niet gecompromitteerd. Private keys en wallet backups zijn dus niet via dit datalek buitgemaakt.

Het directe gevaar zit vooral in overtuigend opgezette scams. Met een naam, telefoonnummer, e mailadres en woonadres kunnen criminelen zich geloofwaardiger voordoen als Trezor, een crypto exchange, bank of andere dienstverlener.

Trezor waarschuwt gebruikers daarom nooit hun wallet backup of seed phrase op een website in te voeren of met iemand te delen. Volgens het bedrijf is dit sinds de oprichting in 2013 de eerste keer dat een datalek rond Trezor leidt tot blootstelling van telefoonnummers en verzendadressen.

Tegelijk werkt Trezor aan Anonymous Delivery. Deze optie moet vanaf september 2026 in de EU beschikbaar komen en voor het einde van het jaar ook in de Verenigde Staten. Gebruikers kunnen daarmee onder een nickname bestellen en hun pakket bij een automatische pakketkluis ophalen.

Het datalek maakt duidelijk waarom zo’n systeem relevant kan zijn. Een hardware wallet kan crypto offline beveiligen, maar zodra bestelgegevens uitlekken, ontstaat een heel ander probleem. De coins blijven veilig op de wallet, terwijl criminelen mogelijk jarenlang beschikken over persoonlijke gegevens van de eigenaar.