La violation a touché 11 742 clients dont les noms, adresses e-mail, numéros de téléphone et adresses de livraison ont tous été exposés, ainsi que 1 947 dont les noms, villes et adresses e-mail ont été pris.
Les numéros de commande étaient inclus. Trezor a déclaré que les enregistrements provenaient de commandes reçues entre le 10 mai et le 8 août 2026, et a nommé les États-Unis, le Royaume-Uni, la Suède, la Colombie, le Brésil, l'Italie et le Portugal comme les marchés touchés.
« Nos systèmes n'ont pas été compromis, et votre appareil Trezor est sécurisé », a déclaré la société, ajoutant que les portefeuilles matériels, les clés privées et les sauvegardes de portefeuille n'ont pas été affectés.
Une politique de stockage des données de 90 jours, que Trezor a déclaré avoir négociée dans les termes de ses partenaires de fulfillment, a maintenu les anciennes commandes hors de l'ensemble exposé, mais chaque client affecté a été contacté individuellement par e-mail.
Alerte de phishing suite à la fuite d'adresses
Trezor a conseillé aux clients de traiter toute communication exigeant une action immédiate ou demandant des informations personnelles comme « suspecte », de vérifier les revendications auprès des canaux officiels, et de ne jamais entrer une sauvegarde de portefeuille sur un site web ou de la partager avec qui que ce soit.
Sa divulgation a indiqué que les clients affectés « pourraient connaître une augmentation des tentatives de phishing. » Mais il semble que les utilisateurs aient trouvé cette déclaration cynique. « Phishing ?? Ils ont des adresses physiques, vous imbéciles », a écrit un utilisateur X se faisant appeler Chikun, dans une réponse qui a recueilli environ 159 likes en une heure. Une autre réponse a qualifié l'exposition de « phishing irl ».
Le risque de phishing suit toujours ce qui a suivi un incident comparable chez un concurrent.CryptoPotatoa rapporté que des escrocs ont utilisé des données de commande divulguées par le partenaire e-commerce de Ledger, Global-e, pour envoyer des e-mails de phishing prétendant que Ledger et Trezor avaient fusionné, incitant les destinataires à entrer des phrases de récupération de 24 mots sur un faux site.
Encore un autre incident Trezor
Trezor a déclaré qu'il enquêtait et publierait des mises à jour sur son blog. La société a également mentionné la création d'une option de livraison anonyme, avec un emballage neutre, des détails d'expéditeur génériques et une suppression automatique des identifiants d'expédition.
Ce n'est pas un moment facile pour être client de Trezor, car ils ont été contactés par des vendeurs deux fois auparavant. Des attaquants ont envoyé des e-mails de phishing via une liste de diffusion Trezor compromise chez MailChimp en 2022, incitant les utilisateurs à consulter des domaines de téléchargement similaires conçus pour voler des phrases de récupération.
Deux ans plus tard, une violation d'un portail de tickets de support tiers a exposé les noms et adresses e-mail d'environ 66 000 utilisateurs qui avaient contacté le support Trezor depuis décembre 2021. Ces deux détails de contact exposés, mais celui-ci a exposé des adresses domiciliaires dans plusieurs pays.
Source : CryptoPotato
