Trezor-datalek veel groter: gegevens van 67.000 extra klanten gelekt
Nog eens 67.000 Trezor-klanten blijken getroffen door het datalek bij logistiek partner ShipMonk. Daarmee groeit het bekende aantal slachtoffers van ongeveer 13.700 naar ruim 80.000.
Het pijnlijke detail: deze oude klantgegevens hadden volgens Trezor helemaal niet meer bij ShipMonk mogen staan. De hardwarewalletmaker zegt herhaaldelijk schriftelijke bevestiging te hebben gekregen dat de data was verwijderd.
Oude bestelgegevens uit 2019 blijken nog aanwezig
Trezor kreeg op 2 september te horen dat het incident groter was dan eerder gemeld.
De nieuwe groep bestaat uit ongeveer 67.000 Amerikaanse klanten die tussen november 2019 en augustus 2021 een bestelling plaatsten. Hun naam, e-mailadres, telefoonnummer, verzendadres en ordernummer zijn blootgesteld.
Alle nieuw geïdentificeerde slachtoffers zijn volgens het bedrijf rechtstreeks per e-mail gewaarschuwd.
Dat maakt de tijdlijn opvallend. Sommige gegevens waren bijna zeven jaar oud toen bleek dat ze nog bij de logistieke dienstverlener aanwezig waren.
ShipMonk zou de gegevens juist verwijderd hebben
Trezor hanteert naar eigen zeggen een beleid waarbij bestelgegevens na 90 dagen worden verwijderd of geanonimiseerd.
Die periode moet genoeg zijn voor levering, retourzendingen en eventuele terugbetalingen. Daarna zegt Trezor geen reden meer te hebben om adressen en telefoonnummers te bewaren. De oorspronkelijke melding van het bedrijf beschrijft dezelfde bewaartermijn voor logistieke partners.
Maar bij de oude Amerikaanse records ging dat mis.
Trezor stelt dat het gedurende de samenwerking herhaaldelijk om verwijdering vroeg. ShipMonk zou bovendien schriftelijk hebben bevestigd dat dit was gebeurd.
De grootste beveiligingsvraag is daardoor niet waarom Trezor oude data bewaarde, maar waarom gegevens die verwijderd hadden moeten zijn nog jaren bij een externe leverancier stonden.
Trezor zegt zeer teleurgesteld te zijn dat die bevestigingen niet overeenkwamen met wat later in de systemen werd aangetroffen.
Eerste melding ging nog over 13.689 klanten
Het lek werd op 13 augustus voor het eerst openbaar gemaakt.
Toen ging Trezor uit van 11.742 klanten van wie naam, e-mailadres, telefoonnummer en verzendadres waren blootgesteld.
Bij nog eens 1.947 klanten ging het om beperktere gegevens, waaronder naam, woonplaats en e-mailadres.
Daarmee stond de teller aanvankelijk op ongeveer 13.689.
De nieuwe groep van circa 67.000 slachtoffers komt daar volgens Trezor bovenop. Het bekende totaal ligt daardoor rond 80.689 klanten.
Trezor-wallets zelf zijn niet gehackt
Voor gebruikers zit hier een belangrijk onderscheid.
Het datalek vond plaats bij ShipMonk. Trezor zegt dat zijn eigen systemen, producten en diensten niet zijn binnengedrongen en dat de apparaten zelf veilig blijven.
Een getroffen gebruiker hoeft zijn hardware-wallet daarom niet automatisch te vervangen.
Ook betekent een gelekt verzendadres niet dat een aanvaller ineens over de cryptografische sleutels van de wallet beschikt.
Het directe risico zit ergens anders.
Een adressenlijst van hardwarewalletbezitters is waardevol voor fraudeurs
Een database met namen, telefoonnummers en thuisadressen is bij een hardwarewalletbedrijf gevoeliger dan een doorsnee webwinkellek.
De aanvaller weet namelijk iets extra's.
De betrokken persoon heeft ooit een Trezor besteld en bezit mogelijk crypto in eigen beheer.
Daarmee kan een phishingaanval veel persoonlijker worden. Een fraudeur kan zich voordoen als Trezor, een bank, bezorgdienst of crypto-exchange en daarbij echte klantgegevens gebruiken om geloofwaardig over te komen.
Trezor waarschuwt zelf voor frauduleuze e-mails, telefoongesprekken en zelfs fysieke brieven. Het bedrijf noemt daarnaast mogelijke fysieke veiligheidsrisico's door de gelekte thuisadressen.
Seed phrase blijft de echte buit
Een fraudeur heeft aan naam en adres alleen nog geen toegang tot de munten.
Daarom zal de volgende aanval waarschijnlijk proberen de gebruiker zelf de laatste stap te laten zetten.
Denk aan een bericht waarin staat dat een wallet “gecompromitteerd” is en dringend opnieuw moet worden beveiligd. Vervolgens verschijnt een website waarop de gebruiker zijn walletback-up moet invoeren.
Dat moet nooit gebeuren.
Trezor waarschuwt expliciet om een walletback-up nooit met iemand te delen en nooit op een website in te voeren.
Wie de recovery seed bemachtigt, kan een wallet elders herstellen. De fysieke Trezor hoeft daarvoor niet in handen van de aanvaller te zijn.
Geen reden om crypto haastig te verplaatsen
Juist dat maakt paniek gevaarlijk.
Het lek vormt op zichzelf geen reden om op basis van een onverwachte mail of telefoontje direct crypto naar een “veilige wallet” te sturen.
Dat kan precies de fraude zijn waarvoor Trezor waarschuwt.
Controleer veiligheidsmeldingen rechtstreeks via de officiële website en niet via links in onverwachte berichten. Deel nooit recoverywoorden en behandel telefoontjes waarin om snelle actie wordt gevraagd als verdacht.
Ook de inhoud van de verzonden pakketten werd volgens Trezor niet door het datalek blootgesteld.
Trezor versnelt anoniemer bezorgen
Het bedrijf werkt al aan een manier om dit type risico bij toekomstige bestellingen te verkleinen.
Trezor wil een dienst voor Anonymous Delivery introduceren. Die moet onder meer werken met afhalen via lockers, neutrale verpakkingen, generieke afzendergegevens en automatische verwijdering van verzendinformatie.
De Europese introductie stond voor september gepland. Voor de Verenigde Staten mikt het bedrijf op eind 2026.
Het probleem verdwijnt daarmee niet volledig. Een fysiek product moet ergens worden bezorgd en daarvoor zijn vaak persoonsgegevens nodig.
Maar hoe korter die data blijft bestaan, hoe kleiner de hoeveelheid informatie die bij een later lek kan worden buitgemaakt.
Dit lek raakt vooral het vertrouwen rond self-custody
Hardwarewallets worden juist gekocht om minder afhankelijk te zijn van derden.
De private keys blijven bij de gebruiker en een blockchain heeft geen centrale partij nodig om bezit vast te leggen.
Maar een fysieke wallet moet nog steeds worden besteld, betaald en bezorgd.
Daar duikt de derde partij alsnog op.
Bij Trezor zat het zwakke punt dit keer niet in de hardware of cryptografie. Het zat jaren eerder in een database van een bezorgpartner waarvan het bedrijf dacht dat de gegevens allang verwijderd waren.
De wallets bleven veilig.
De mensen achter de wallets zijn nu veel makkelijker te vinden.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
