Datalek bij Trezor raakt 14.000 klanten

Het gaat om mensen die tussen 10 mei en 8 augustus een Trezor-product ontvingen vanuit de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilië, Italië of Portugal.

Welke gegevens zijn gelekt?

Het datalek raakt twee groepen klanten. Bij 11.742 mensen kregen onbevoegden mogelijk toegang tot de naam, het woonadres, telefoonnummer en e-mailadres. Van nog eens 1.947 klanten kunnen de naam, woonplaats en het e-mailadres zijn gelekt.

De gegevens kwamen terecht bij ShipMonk omdat het bedrijf de verzending van Trezor-producten verzorgt. Trezor benadrukt dat aanvallers niet zijn binnengedrongen in zijn eigen systemen.

Dat betekent dat het incident geen directe toegang gaf tot crypto op een Trezor-wallet. De private keys en herstelgegevens waarmee gebruikers hun crypto beheren, maakten geen deel uit van het lek.

Vooral phishing vormt een risico

Hoewel er geen cryptografische sleutels zijn gestolen, kunnen de persoonsgegevens wel waardevol zijn voor criminelen. Een fraudeur die je naam, telefoonnummer en adres kent, kan een veel overtuigender bericht sturen dan met alleen een willekeurig e-mailadres.

Trezor waarschuwt daarom voor gerichte phishing via e-mail, sms, telefoon en fysieke post. Een aanvaller kan zich bijvoorbeeld voordoen als Trezor, een cryptobeurs of een bank en beweren dat er een probleem is met je account of wallet.

Voor cryptobezitters verdient vooral een verzoek om een seed phrase extra aandacht. Een seed phrase is de reeks herstelwoorden waarmee je opnieuw toegang kunt krijgen tot een wallet. Wie deze woorden bezit, kan in veel gevallen ook de crypto in die wallet beheren.

Trezor heeft voor het oplossen van een probleem nooit de seed phrase van een klant nodig. Een onverwacht verzoek om deze woorden in te voeren of door te geven, is daarom een duidelijk waarschuwingssignaal.

Hardware wallet zelf blijft veilig

Het verschil tussen een datalek en een hack van een wallet is in dit geval belangrijk. De aanvallers kregen persoonsgegevens in handen via een externe logistieke partij, maar daarmee kunnen ze niet automatisch bij de crypto van gebruikers.

Een hardware wallet bewaart private keys buiten een gewone computer of smartphone. Transacties moeten op het fysieke apparaat worden goedgekeurd. Daardoor blijft de toegang tot crypto gescheiden van bijvoorbeeld een gelekt e-mailadres of telefoonnummer.

Trezor meldt dan ook geen reden om vanwege dit incident apparaten te vervangen. Het grootste gevaar ontstaat wanneer een gebruiker door een overtuigende phishingaanval zelf gevoelige herstelgegevens prijsgeeft.

Niet het eerste incident rond Trezor-klanten

Trezor kreeg eerder te maken met een vergelijkbaar probleem. Begin 2024 waarschuwde het bedrijf ongeveer 66.000 gebruikers voor mogelijke phishing nadat persoonsgegevens uit een extern klantenservicesysteem waren blootgesteld.

Ook bij andere hardware wallets proberen criminelen persoonlijke gegevens te gebruiken om cryptobezitters te bereiken. Daarbij blijft het niet altijd bij digitale berichten. Er zijn ook gevallen bekend van fysieke brieven waarin fraudeurs zich voordoen als een walletprovider en gebruikers proberen te overtuigen hun herstelgegevens in te voeren.

Het huidige datalek onderstreept daardoor een breder probleem. Een hardware wallet kan technisch goed beveiligd zijn, terwijl persoonsgegevens uit andere delen van de dienstverlening alsnog een ingang vormen voor fraude.

Wat kunnen getroffen gebruikers doen?

Voor klanten die onder het datalek vallen, draait het vooral om extra aandacht voor onverwachte communicatie. Een e-mail of telefoontje kan correcte persoonlijke gegevens bevatten en toch afkomstig zijn van een fraudeur.

Controleer daarom zelf via de officiële kanalen of een waarschuwing echt van Trezor komt. Open geen onverwachte links die vragen om walletgegevens en deel nooit een seed phrase of private key met een andere persoon of organisatie.

Het bezit van persoonlijke informatie bewijst niet dat een afzender betrouwbaar is. Juist na een datalek kunnen criminelen zulke details gebruiken om vertrouwen te winnen.

Conclusie

Het datalek bij Trezor heeft mogelijk de persoonsgegevens van ongeveer 14.000 klanten blootgelegd, maar de hardware wallets en private keys zelf zijn niet getroffen. Daardoor vormt phishing op dit moment het belangrijkste risico.

Voor gebruikers verandert de basisregel niet: houd je seed phrase en private keys altijd privé. Zeker na een datalek is het verstandig om extra kritisch te kijken naar e-mails, telefoontjes, sms’jes en brieven die beweren van een cryptobedrijf afkomstig te zijn.

Veelgestelde vragen

Is de Trezor-wallet zelf gehackt?

Nee. Volgens Trezor vond het incident plaats bij verzendpartner ShipMonk. De systemen van Trezor, hardware wallets, private keys en back-ups zijn volgens het bedrijf niet getroffen.

Welke persoonsgegevens zijn gelekt?

Bij de grootste groep gaat het mogelijk om namen, woonadressen, telefoonnummers en e-mailadressen. Bij een kleinere groep kunnen namen, woonplaatsen en e-mailadressen zijn blootgesteld.

Moet ik mijn crypto verplaatsen na het datalek?

Op basis van de informatie van Trezor is dat niet nodig vanwege dit incident alleen. Gebruikers moeten vooral alert zijn op phishing en mogen hun seed phrase of private key nooit delen.