Datalek rond Trezor veel groter dan gedacht, nog eens 67.000 klanten getroffen

Het recente datalek rond Trezor blijkt aanzienlijk groter dan aanvankelijk bekend. Nadat eerder gegevens van 13.689 klanten uitlekten bij een verzendpartner, meldt Trezor nu dat nog eens 67.000 Amerikaanse klanten zijn getroffen. Daarmee komt het bekende totaal boven de 80.000 klanten uit. Het gaat niet om een hack van de hardware wallets of systemen van Trezor zelf, maar om persoonlijke gegevens die bij verzendpartner ShipMonk zijn achtergebleven.

Nog eens 67.000 klanten getroffen

De uitbreiding volgt op het eerder gemelde datalek bij de verzendpartner van Trezor. Toen werd duidelijk dat gegevens van 13.689 klanten waren blootgesteld.

Nu komen daar volgens Trezor ongeveer 67.000 Amerikaanse klanten bij. Het gaat om mensen die tussen november 2019 en augustus 2021 een bestelling plaatsen. Namen, e mailadressen, telefoonnummers, verzendadressen en ordernummers zijn daarbij blootgesteld.

Op basis van beide meldingen gaat het inmiddels om minstens 80.689 getroffen klanten.

Trezor stelt dat het ShipMonk tijdens de samenwerking herhaaldelijk vraagt om deze klantgegevens te verwijderen. Het bedrijf ontvangt naar eigen zeggen ook schriftelijke bevestigingen dat dit gebeurt. De informatie blijkt uiteindelijk toch nog in de systemen van ShipMonk aanwezig te zijn.

Vooral fysieke veiligheid vormt een risico

Trezor zegt alle 67.000 nieuw getroffen klanten rechtstreeks per e mail te informeren. Wie geen bericht ontvangt, valt volgens het bedrijf niet binnen deze nieuwe groep.

De hardware wallets zelf zijn niet getroffen. Trezor meldt dat zijn eigen systemen niet worden gehackt en dat apparaten veilig blijven. Het risico zit daardoor vooral bij het misbruik van persoonlijke informatie.

Een verzendadres gecombineerd met informatie waaruit blijkt dat iemand een hardware wallet koopt, kan bijzonder gevoelig zijn. Criminelen kunnen dergelijke gegevens gebruiken voor gerichte phishing, frauduleuze brieven of telefoontjes. In het ernstigste geval kan kennis over het woonadres van een cryptobezitter ook een fysiek veiligheidsrisico vormen.

Dat onderwerp speelt al langer. Na het oorspronkelijke incident ontstaat al discussie over de fysieke veiligheid van crypto bezitters. De uitbreiding met 67.000 Amerikaanse klanten maakt die discussie opnieuw actueel.

Trezor werkt aan anonieme bezorging

Trezor waarschuwt getroffen gebruikers om extra alert te zijn op nepberichten, telefoontjes en brieven. Een wallet backup of seed phrase mag nooit met iemand worden gedeeld of op een website worden ingevoerd.

Het bedrijf werkt ondertussen aan anonieme bezorging voor toekomstige bestellingen. Daarmee wil Trezor voorkomen dat persoonlijke informatie van klanten onnodig bij logistieke partijen terechtkomt.

Trezor publiceert meer informatie over het incident op zijn eigen website. De uitbreiding maakt vooral duidelijk dat een hardware wallet technisch veilig kan blijven, terwijl gegevens rond de aankoop ervan alsnog een serieus veiligheidsrisico opleveren.