Creo que la parte más preocupante de esta filtración de Trezor no es solo el número de clientes afectados, sino el hecho de que, según se informa, antiguos registros de clientes permanecieron con un proveedor logístico años después de que se suponía que debían ser eliminados. Para los usuarios de monederos de hardware, esto demuestra que proteger las criptomonedas no solo consiste en asegurar las claves privadas: la información personal vinculada a una compra también puede generar riesgos graves.
El fabricante de monederos de hardware Trezor ha ampliado el número de clientes afectados por una filtración de datos en su socio logístico ShipMonk, al afirmar que otros 67.000 clientes en EE. UU. podrían haber visto expuesta su información.
Trezor informó inicialmente que 13.689 clientes se vieron afectados. El grupo recién revelado elevaría el total a aproximadamente 80.689 personas, aunque la empresa no ha publicado una única cifra combinada ni ha proporcionado suficientes datos subyacentes para determinar si existe algún solapamiento entre los dos grupos.
Los registros recién identificados aparentemente se refieren a pedidos en EE. UU. realizados entre noviembre de 2019 y agosto de 2021. Incluían nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido.
Esa combinación de información es particularmente sensible para los clientes de billeteras de hardware porque puede conectar potencialmente la identidad y la dirección física de una persona con el hecho de que compró un dispositivo de seguridad cripto.
Los registros antiguos permanecieron a pesar de las garantías de eliminación
La divulgación inicial de Trezor del 13 de agosto identificó a 11.742 clientes con exposición total y a otros 1.947 con exposición parcial. En ese momento, la empresa dijo que la información de pedidos antiguos ya había sido eliminada, aunque una aclaración posterior reconoció que algunos pedidos antiguos estaban presentes entre los registros expuestos parcialmente.
La última actualización de la empresa pinta un panorama diferente.
Trezor dijo que solicitó repetidamente a ShipMonk la confirmación de que la información relevante había sido eliminada y recibió garantías por escrito de que los datos ya no existían. Sin embargo, los registros que datan de 2019 aparentemente todavía estaban presentes en los sistemas del proveedor.
La política de datos de entrega de Trezor establece que la información del cliente normalmente debe eliminarse tanto de los sistemas de Trezor como de los de sus socios de cumplimiento de pedidos después de 90 días, excepto cuando la información sea necesaria para resolver problemas en curso relacionados con los pedidos.
La empresa no ha publicado públicamente las garantías de eliminación ni las fechas en que fueron proporcionadas.
Según la información publicada por BleepingComputer, una notificación de ShipMonk vinculó el acceso no autorizado original a una vulnerabilidad que involucraba la plataforma de análisis Metabase. Metabase había dicho anteriormente que una vulnerabilidad zero-day de agosto podría permitir potencialmente a un atacante obtener una sesión de administrador y descargar grandes cantidades de información de la base de datos.
A medida que se investigó más a fondo el incidente del proveedor logístico, el hallazgo de registros históricos aumentó significativamente el número de clientes de Trezor que se creía habían quedado expuestos.
Las billeteras Trezor en sí no fueron comprometidas
Aquí hay una distinción importante: la brecha no comprometió los sistemas de billetera de Trezor.
La empresa dijo que sus propios sistemas, productos y servicios no fueron comprometidos y que sus dispositivos de hardware permanecieron seguros. La información identificada en el incidente involucraba detalles de clientes y pedidos, no semillas de recuperación de billeteras, claves privadas ni saldos de criptomonedas.
La mayor preocupación es lo que los atacantes podrían potencialmente hacer con la información que rodea la compra de la billetera.
Trezor advirtió que los detalles expuestos podrían usarse para crear correos electrónicos de phishing convincentes, llamadas telefónicas o cartas fraudulentas e incluso, potencialmente, intentos de acoso físico.
Sin embargo, la empresa no ha informado de un ataque posterior confirmado derivado de este conjunto de datos recién identificado, lo que significa que se trata de riesgos potenciales y no de consecuencias documentadas.
Trezor dijo que contactó directamente a cada cliente recién afectado y subrayó que los clientes nunca deben compartir su copia de seguridad de la billetera ni introducir información de recuperación en un sitio web.
Para mí, la mayor lección es que la seguridad de las billeteras de hardware no termina con el propio dispositivo. Tus claves privadas pueden seguir protegidas, pero la información personal creada cuando compras y recibes una billetera aún puede convertirse en un riesgo de seguridad.
Una empresa puede tener en papel una estricta política de eliminación de 90 días, pero si un proveedor externo conserva la información durante años, esa política ofrece poca protección real. Este incidente recuerda que la seguridad cripto también depende de cómo los exchanges, fabricantes y empresas logísticas manejan los datos que rodean a los activos.