Outros 67 000 clientes da Trezor tiveram os seus nomes, endereços de e-mail, números de telefone, endereços residenciais e números de encomenda expostos na violação ocorrida na ShipMonk, a empresa responsável pela logística de envio, anunciou esta sexta-feira o fabricante da carteira de hardware.

Todos os clientes afetados estão nos EUA e fizeram encomendas entre novembro de 2019 e agosto de 2021, o que significa que alguns dos registos expostos datam de quase sete anos. A ShipMonk comunicou a descoberta há dois dias.

A Trezor tinha solicitado e recebido, repetidamente, confirmação por escrito de que esses registos haviam sido eliminados — em conformidade com o contrato e a política de dados — e declarou-se decepcionada ao saber que isso não tinha ocorrido.

Ao divulgar a violação em agosto, a empresa atribuiu o alcance limitado do incidente a uma política de eliminação de 90 dias, que afirmava ter negociado nos termos contratuais com os seus parceiros de logística. Essa alegação parece agora consideravelmente mais frágil. O número de afetados saltou de 13 689 para aproximadamente 80 700.

Proprietários de carteiras enfrentam múltiplas ameaças

Os sistemas da própria Trezor não foram invadidos; dispositivos, chaves privadas e cópias de segurança das carteiras permanecem intactos. O perigo reside no facto de os registos identificarem proprietários confirmados de carteiras de hardware associados a endereços residenciais específicos. Além de e-mails, chamadas e cartas fraudulentas, a Trezor alertou os clientes afetados sobre riscos à sua segurança física e reiterou que a frase de recuperação de uma carteira nunca deve ser partilhada nem introduzida em sites.

Proprietários de carteiras Trezor e da concorrente Ledger já tinham recebido cartas falsas em fevereiro — contendo hologramas, códigos QR e assinaturas forjadas de executivos — que exigiam a ativação de uma verificação de segurança fictícia sob pena de perda de acesso às carteiras.

Na ocasião, o consultor de cibersegurança David Sehyeon Baek disse ao site Decrypt que uma carta com nome e endereço residencial sinaliza "podemos localizá-lo", e que dados roubados permanecem úteis durante anos, uma vez que as pessoas raramente mudam de casa ou de número de telefone.

A invasão teve origem numa falha crítica de injeção SQL na ferramenta de análise Metabase, divulgada a 6 de agosto, que permitia a atacantes não autenticados roubar credenciais de bases de dados ligadas. A fabricante de portáteis Framework e a plataforma de criação de formulários Tally também foram atingidas pela mesma onda de ataques. Segundo relatos, a ShipMonk recebeu e-mails de extorsão atribuídos ao grupo ShinyHunters, embora essa autoria ainda não tenha sido confirmada.

A Trezor informou que está a trabalhar para disponibilizar o quanto antes a opção de entrega anónima — com recolha em cacifos inteligentes (lockers), embalagem neutra e dados genéricos do remetente —, para que os compradores não precisem de fornecer o seu endereço residencial.

* Traduzido e editado com autorização do Decrypt.

A porta de entrada para o bitcoin, a maior criptomoeda do mundo, está no MB. É simples, seguro e transparente. Não deixes para depois um investimento com potencial gigantesco. Investe em poucos cliques!