Une phrase de récupération peut être remplacée. Un mot de passe peut être réinitialisé. Une adresse domiciliaire ne peut pas l'être. La violation de données de SafePal révélée dimanche a exposé près de 40 000 d'entre elles.
Trois jours plus tôt, Trezor avait divulgué 13 689 de plus. Ensemble, les deux fabricants de portefeuilles matériels ont mis 53 487 dossiers clients à la disposition du public. Aucune des deux entreprises n'a perdu un seul coin.
Ce que la violation de données de SafePal a révélé
SafePal a déclaré que 39 798 clients étaient concernés. La fuite couvrait des noms, des e-mails, des numéros de téléphone, des adresses de livraison et des détails de commande.
La cause était un défaut dans le plugin que SafePal utilise pour suivre les commandes. Dans certains cas, un client pouvait ouvrir le dossier d'un autre client.
Les commandes concernées allaient du 2 mars 2025 au 11 avril 2026. Cette fenêtre est restée ouverte pendant plus de 13 mois.
Les phrases de récupération, les clés privées, les détails bancaires et les numéros de carte n'ont pas été touchés. SafePal a corrigé le défaut et a réduit la conservation des données de commande à 90 jours, selon sa divulgation.
Le SafePal Token (SFP) a à peine bougé dimanche, se négociant près de 0,23 $. C'est le but. Rien de financier ne s'est passé ici.
Pourquoi les adresses divulguées survivent plus longtemps que les mots de passe divulgués
Trezor a appris sa propre violation de données clients le 10 août. Son partenaire d'expédition, ShipMonk, avait été compromis.
Des détails complets ont été divulgués pour 11 742 acheteurs de Trezor, selon l'avis de l'entreprise. Noms, e-mails, numéros de téléphone et adresses domiciliaires ont tous été divulgués.
Les deux échecs diffèrent à la racine. Les données de Trezor ont été compromises par un fournisseur. Celles de SafePal ont été compromises par un système qu'il a géré lui-même.
Cependant, les deux listes valent la même chose pour un attaquant. Acheter un portefeuille matériel suggère que vous détenez suffisamment de crypto pour le retirer d'un échange.
Ainsi, ces enregistrements sont plus restreints qu'une fuite typique d'échange. Ils associent un probable détenteur en auto-garde à une porte d'entrée confirmée.
Les procureurs ont déjà vu ce scénario
En mai, les procureurs américains ont annoncé des accusations contre trois hommes du Tennessee pour une série de vols de 6,5 millions de dollars à travers la Californie.
Les hommes se faisaient passer pour des livreurs pour atteindre les victimes à l'intérieur de leurs maisons, selon l'acte d'accusation.
Un enregistrement d'expédition divulgué remet ce script à la prochaine équipe. Il nomme l'acheteur, donne l'adresse et indique ce qui est arrivé dans la boîte.
Le phishing est le problème le plus petit. SafePal a supprimé plus de 30 faux sites Web et liens d'escroquerie liés aux données volées.
Les véritables avis provenaient de [email protected]. Tout autre adresse doit être traité comme une attaque.
Ledger montre combien de temps cette queue s'étend. Sa violation de 2020 a exposé environ 272 000 adresses postales, noms et numéros de téléphone, selon la déclaration de l'entreprise.
Six ans plus tard, Ledger avertit toujours les clients au sujet des lettres de phishing arrivant par la poste. L'entreprise ne lie pas ces lettres à la fuite de 2020.
Les domaines frauduleux sont supprimés. Les boîtes de réception sont filtrées. Les adresses n'expirent pas.
Trezor prévoit maintenant une option de livraison anonyme, atteignant l'Union européenne en septembre et les États-Unis d'ici la fin de l'année. Cela arrive trop tard pour les 53 487 enregistrements déjà en circulation.
Source : BeInCrypto
