Perusahaan Trezor melaporkan kebocoran data pribadi pelanggan karena peretasan terhadap mitra logistiknya, ShipMonk. Insiden ini berdampak pada 13.689 pembeli dari Amerika Serikat, Inggris, Swedia, Kolombia, Brasil, Italia, dan Portugal, yang menerima pesanan dalam 90 hari sebelum 8 Agustus.
Produsen dompet kripto perangkat keras ini menekankan bahwa sistem dan perangkatnya sendiri tidak dikompromikan, namun pengguna yang terkena dampak mungkin menghadapi serangan phishing yang lebih canggih.
Menurut Trezor, sebagai akibat dari akses tidak sah ke sistem ShipMonk, data 11.742 pelanggan terungkap sepenuhnya — nama, alamat email, nomor telepon, dan alamat pengiriman. 1.947 pengguna lainnya terkena dampak kebocoran sebagian: pelaku kejahatan mungkin memperoleh nama, kota, dan alamat email mereka.
Data apa yang didapatkan pelaku kejahatan
ShipMonk menyimpan informasi yang diperlukan untuk pengiriman pesanan Trezor, khususnya nama, alamat, nomor telepon, alamat email, dan nomor pesanan. Menurut perusahaan, insiden ini terbatas pada kebijakan penyimpanan datanya: informasi pesanan dihapus atau dianonimkan setelah 90 hari dari pengiriman.
"Ini adalah kasus pertama sejak Trezor didirikan pada tahun 2013, di mana kami mengalami kebocoran yang mengakibatkan pengungkapan nomor telepon dan alamat pengiriman pelanggan," kata perusahaan tersebut.
Trezor secara terpisah menekankan bahwa kebocoran tersebut tidak memengaruhi kunci privat, cadangan dompet, atau perangkat itu sendiri. Namun, informasi yang didapatkan dapat digunakan untuk serangan phishing yang dipersonalisasi — melalui email, panggilan telepon, atau kiriman pos.
Perusahaan mendesak pengguna untuk tidak memasukkan cadangan dompet di situs web dan tidak membagikannya kepada pihak ketiga.
Trezor juga melaporkan bahwa semua pelanggan yang terkena dampak telah menerima pesan terpisah dari alamat help@trezor.io. Perusahaan terus menyelidiki insiden tersebut bersama ShipMonk, yang telah mengamankan sistem yang terpengaruh dan meningkatkan keamanannya.
Trezor Mempersiapkan Pengiriman Anonim
Setelah insiden tersebut, Trezor juga menceritakan tentang pekerjaan pada fitur pengiriman anonim, yang dirancang untuk mengurangi volume data pribadi yang terkait dengan pembelian dompet perangkat keras. Perusahaan berencana untuk meluncurkannya di UE pada September 2026, dan di AS — sebelum akhir tahun ini.
Opsi ini akan mencakup formulir pemesanan terpisah, kemungkinan menggunakan nama samaran atau identifikasi, penerimaan melalui kotak pos otomatis, kemasan netral, dan penghapusan otomatis identifikasi pengiriman setelah pesanan diterima.
Sebelumnya, tim keamanan Donjon dari perusahaan Ledger juga meneliti kerentanan chip TROPIC01, yang digunakan dalam dompet perangkat keras Trezor Safe 7. Para peneliti berhasil melewati pemeriksaan tanda tangan menggunakan metode LFI, namun mereka tidak dapat memperoleh akses ke data rahasia. Trezor saat itu menekankan bahwa dana pengguna dan data mereka tetap terlindungi.
end-content
