Trezor-datalek raakt 67.000 extra klanten

Trezor ontdekt grotere omvang van datalek

Trezor kreeg nieuwe informatie van verzendpartner ShipMonk over het beveiligingsincident. Daaruit blijkt dat gegevens van nog eens 67.000 Amerikaanse klanten zijn blootgesteld.

Het gaat om mensen die tussen november 2019 en augustus 2021 een bestelling plaatsten. Naast contactgegevens zijn ook details over bestellingen gelekt. Hierdoor kunnen aanvallers niet alleen zien wie klant was, maar mogelijk ook afleiden dat iemand een hardware wallet bezit.

Trezor meldde in augustus aanvankelijk dat ongeveer 14.000 klanten door het incident waren getroffen. De nieuwste cijfers maken duidelijk dat de omvang aanzienlijk groter is.

Volgens Trezor had ShipMonk de oudere bestelgegevens moeten verwijderen. Het bedrijf zegt daarvoor eerder een schriftelijke bevestiging van de verzendpartner te hebben ontvangen.

Geen toegang tot Trezor-wallets

De systemen van Trezor zelf zijn volgens het bedrijf niet binnengedrongen. Aanvallers kregen via dit incident dus geen directe toegang tot wallets, private keys of seed phrases.

Dat onderscheid is belangrijk. Een hardware wallet bewaart de cryptografische sleutels waarmee een gebruiker transacties kan goedkeuren. Deze sleutels blijven normaal gesproken afgeschermd van apparaten die met internet verbonden zijn.

Toch betekent dit niet dat gebruikers geen risico lopen. Met een naam, telefoonnummer, e-mailadres en informatie over een bestelling kunnen criminelen veel geloofwaardiger contact opnemen.

Een aanvaller kan zich bijvoorbeeld voordoen als een medewerker van Trezor en beweren dat een gebruiker vanwege het datalek zijn wallet opnieuw moet beveiligen. Het uiteindelijke doel kan zijn om de seed phrase van het slachtoffer te bemachtigen.

Wat is een seed phrase?

Een seed phrase is een reeks woorden waarmee een cryptowallet kan worden hersteld. Deze woorden geven in veel gevallen volledige toegang tot de crypto in de wallet.

Wie de seed phrase in handen krijgt, heeft daarvoor niet langer de fysieke hardware wallet nodig. Daarom moet een gebruiker deze woorden nooit delen via e-mail, telefoon, chat of een website die via een onverwacht bericht wordt aangeboden.

Trezor heeft de seed phrase van een gebruiker niet nodig om ondersteuning te bieden. Een verzoek om deze woorden te delen, is daarom een duidelijk waarschuwingssignaal.

Persoonlijke gegevens maken phishing overtuigender

Het grootste risico van het Trezor datalek zit in phishing en social engineering. Bij phishing proberen criminelen iemand naar een nagemaakte website te lokken of gevoelige gegevens te laten delen. Social engineering draait vooral om menselijke misleiding. De aanvaller probeert vertrouwen of urgentie te creëren om het slachtoffer tot actie te bewegen.

Gelekte persoonsgegevens maken zulke aanvallen moeilijker te herkennen. Een bericht waarin een echte naam, bestelling of ander persoonlijk detail staat, kan betrouwbaar lijken terwijl het van een fraudeur afkomstig is.

Dit soort aanvallen vormt inmiddels een belangrijke bron van verliezen binnen de cryptomarkt. Volgens blockchainbeveiligingsbedrijf Hacken waren phishing en social engineering in het eerste kwartaal van dit jaar verantwoordelijk voor ongeveer $306 miljoen van de in totaal $482 miljoen aan gemelde cryptoverliezen.

Een technisch lek in een wallet is daarvoor niet noodzakelijk. In juli verloor een cryptobelegger bijvoorbeeld bijna $1 miljoen nadat diegene een kwaadaardige token approval op Ethereum ondertekende.

Een token approval is toestemming die een gebruiker aan een smart contract geeft om bepaalde tokens te gebruiken. Wanneer een gebruiker die toestemming aan een kwaadaardig contract geeft, kan een aanvaller proberen crypto uit de wallet te halen.

Niet het eerste incident rond Trezor-klantgegevens

Trezor waarschuwde eerder voor een ander incident waarbij klantinformatie risico liep.

In januari 2024 meldde het bedrijf dat ongeveer 66.000 gebruikers mogelijk doelwit konden worden van phishing. Dat incident had betrekking op mensen die sinds december 2021 contact hadden opgenomen met de klantenservice.

Het huidige Trezor datalek staat daar los van. Dit keer ligt de oorzaak bij gegevens die via verzendpartner ShipMonk beschikbaar waren.

Voor cryptobeleggers laat dat zien dat beveiliging verder gaat dan alleen de wallet. Een hardware wallet kan private keys goed beschermen, terwijl persoonsgegevens bij een externe partij alsnog kunnen uitlekken.

Wat betekent dit voor Trezor-gebruikers?

Vooral Amerikaanse klanten die tussen november 2019 en augustus 2021 bij Trezor bestelden, moeten rekening houden met gerichte fraudepogingen.

Een verdachte e-mail hoeft daarbij niet vol spelfouten te staan. Aanvallers beschikken mogelijk over echte persoonsgegevens en bestelgegevens. Daardoor kunnen berichten veel overtuigender ogen dan algemene phishingmails.

Gebruikers doen er daarom goed aan onverwachte berichten over hun wallet niet rechtstreeks te vertrouwen. Open geen links uit verdachte e-mails en controleer belangrijke meldingen via de officiële kanalen van Trezor. Deel daarnaast nooit een seed phrase, ongeacht wie erom vraagt.

Conclusie

Het Trezor datalek heeft grotere gevolgen dan aanvankelijk bekend was. Nog eens 67.000 Amerikaanse klanten kregen te maken met blootgestelde persoonsgegevens nadat gegevens bij ShipMonk niet waren verwijderd.

Er zijn geen aanwijzingen dat aanvallers via dit incident toegang kregen tot Trezor-wallets of seed phrases. Het belangrijkste risico is phishing. Met persoonlijke en bestelgegevens kunnen criminelen zeer gerichte aanvallen uitvoeren.

Voor gebruikers blijft daarom één regel essentieel: behandel je seed phrase als de sleutel tot je crypto en deel deze met niemand.

Veelgestelde vragen

Is Trezor zelf gehackt?

Nee. Volgens Trezor zijn de eigen systemen en hardware wallets niet gecompromitteerd. Het datalek vond plaats bij verzendpartner ShipMonk en betreft persoonlijke klant- en bestelgegevens.

Welke gegevens zijn gelekt bij het Trezor datalek?

Onder meer namen, e-mailadressen, telefoonnummers, verzendadressen en informatie over bestellingen zijn blootgesteld. Hierdoor kunnen criminelen gerichte phishingberichten maken die betrouwbaarder lijken.

Kan iemand door dit datalek mijn crypto stelen?

Niet rechtstreeks. De gelekte gegevens geven geen directe toegang tot een wallet. Het risico ontstaat wanneer criminelen deze informatie gebruiken om iemand te misleiden en bijvoorbeeld een seed phrase te laten delen of een kwaadaardige transactie te laten ondertekenen.