13 sierpnia Trezor ujawnił, że naruszenie danych u jego partnera wysyłkowego, ShipMonk, ujawniło dane osobowe około 13 700 ostatnich klientów, w tym imiona, numery telefonów i adresy domowe.
Założyciel Binance, Changpeng Zhao (CZ), odpowiedział, argumentując, że incydent pokazuje rzeczywistą przewagę portfeli do samodzielnego przechowywania oprogramowania, ponieważ nie wymagają one wysyłania fizycznego urządzenia, które łączy tożsamość nabywcy z adresem domowym.
Naruszenie Trezora stawia w centrum uwagi adresy fizyczne
Trezor ujawnił incydent po tym, jak ShipMonk, dostawca usług logistycznych, powiadomił firmę w poniedziałek, 10 sierpnia, o nieautoryzowanym dostępie do systemów przechowujących dane zamówień klientów.
CZ zareagował w czwartek, twierdząc, że incydent podkreśla inny profil ryzyka dla portfeli sprzętowych i oprogramowania do samodzielnego przechowywania.
„Portfele sprzętowe są często uważane za ‘bardziej bezpieczne’ niż portfele programowe,” napisał. „Chociaż nadal uważam, że to ‘ogólnie prawda’ w kilku konkretnych aspektach, ten incydent wzmacnia przewagę portfeli do samodzielnego przechowywania oprogramowania.”
Wskazał na przykłady takie jak Binance Web3 Wallet i Trust Wallet, które nie wymagają wysyłania fizycznego urządzenia, które łączy tożsamość użytkownika i adres z posiadaniem kryptowalut.
CZ również nie zlekceważył portfeli sprzętowych. „Nie mówię, że portfele sprzętowe są ‘złe’,” napisał. „Po prostu mają różne profile.” Dodał, że YZiLabs jest inwestorem w wielu firmach produkujących portfele sprzętowe.
Wnosząc do debaty, NaoX Protocol stwierdził, że ujawnione adresy mogą dać atakującym listę zweryfikowanych posiadaczy kryptowalut, których warto zaatakować osobiście. Wykonawca zabezpieczeń Bitcoina, Nick Neuman, podobnie ostrzegł, że dane te mogą prowadzić do ukierunkowanego inżynierii społecznej i potencjalnych ataków wymuszających, w których przestępcy używają fizycznych gróźb do kradzieży funduszy.
Trezor powiedział, że klienci mogą napotkać bardziej wyrafinowane phishingi przez e-mail, rozmowy telefoniczne lub listy. Wezwał użytkowników, aby nigdy nie wprowadzali swojego kopii zapasowej portfela online ani nie dzielili się nią z nikim.
Trudny okres dla portfeli sprzętowych
Czas dodaje do serii złych nagłówków dla producentów portfeli sprzętowych. W połowie lipca, badacz on-chain ZachXBT nazwał tę kategorię nieodpowiednią do poważnego użytku, pisząc na Telegramie, że „wszystkie portfele sprzętowe to kompletne śmieci.”
Argumentował, że zapasowy telefon używany tylko do podpisywania transakcji może działać lepiej, wskazując na martwe baterie, wymuszone aktualizacje oprogramowania i błędy interfejsu jako powtarzające się problemy. Naruszenie Trezora to inny rodzaj awarii, ponieważ dotyczy ujawnienia przez dostawcę, a nie urządzenie, ale wpisuje się w tę samą rozmowę o kosztach wykraczających poza frazę seed.
Ponadto, w zeszłym tygodniu, Galaxy Research powiązało ponad 100 milionów dolarów w skradzionym Bitcoinie z osobnym problemem w starszym oprogramowaniu Coldcard, które generowało nasiona portfela z słabszą losowością niż zamierzono. Coinkite naprawiło tę wadę w nowszych wersjach, ale nie może naprawić nasion już wygenerowanych na dotkniętych urządzeniach i poinformowało posiadaczy modeli Mk3 do Q, aby przenieśli środki na nieuszkodzony sprzęt.
To nie pierwszy raz, kiedy Trezor znalazł się w takiej sytuacji, z osobnym naruszeniem związanym z zewnętrznym dostawcą wsparcia, które ujawnili dane kontaktowe około 66 000 użytkowników w styczniu 2024 roku.
Źródło: CryptoPotato
