Địa chỉ của 13.000 khách hàng của Trezo bị rò rỉ, nguy cơ tấn công vật lý tăng cao

Vào ngày 13 tháng 8, Trezor đã công bố rằng hệ thống của đối tác logistics ShipMonk đã bị xâm nhập trái phép, dẫn đến việc rò rỉ dữ liệu của 13.689 khách hàng đã mua ví phần cứng. ShipMonk đã thông báo sự việc này cho Trezor vào ngày 10 tháng 8, và hệ thống bị xâm nhập được sử dụng để xử lý đơn hàng và vận chuyển. Sự việc này ảnh hưởng đến hai nhóm khách hàng. 11.742 người có đầy đủ thông tin cá nhân như tên, địa chỉ email, số điện thoại và địa chỉ giao hàng bị lộ, và các đơn hàng này được đặt từ ngày 10 tháng 5 đến ngày 8 tháng 8. Đối với 1.947 người còn lại, chỉ có tên, thành phố và địa chỉ email bị lộ, và Trezor đang phối hợp với ShipMonk để xác minh xem các đơn hàng này có phải đã được đặt từ lâu hơn hay không. Trezor yêu cầu các đối tác vận chuyển phải xóa hoặc ẩn danh thông tin đơn hàng trong vòng 90 ngày sau khi giao hàng, nhưng hiện đang điều tra nguyên nhân khiến một số dữ liệu cũ vẫn còn tồn tại. Trezor nhấn mạnh rằng hệ thống, thiết bị và dịch vụ của công ty không bị xâm phạm, và ví của khách hàng vẫn an toàn. Tuy nhiên, vụ rò rỉ này được coi là nghiêm trọng vì nó cho thấy "mối đe dọa bảo mật kỹ thuật số có thể chuyển thành mối đe dọa bảo mật vật lý". Việc kết hợp thông tin về việc mua ví phần cứng với địa chỉ nhà riêng có thể khiến tội phạm nhắm mục tiêu vào các gia đình có khả năng sở hữu tiền điện tử. Ngoài ra, nó cũng có thể bị lợi dụng cho các cuộc tấn công kỹ thuật xã hội tinh vi hơn, chẳng hạn như các email, cuộc gọi hoặc thư giả mạo từ Trezor. Theo Chainalysis, tổng thiệt hại do các cuộc tấn công tiền điện tử bạo lực gây ra đạt mức cao kỷ lục là 58 triệu đô la vào năm 2025, và tiếp tục gây thiệt hại thêm 30 triệu đô la vào giữa năm 2026. Số lượng các vụ đột nhập vào nhà cửa đã tăng đáng kể, chiếm 37% tổng số vụ việc trong năm nay, so với 26% vào năm 2023. Vào năm 2025, Bộ Tư pháp Hoa Kỳ đã truy tố một mạng lưới tội phạm vì tội đột nhập vào nhà của những người sở hữu ví phần cứng, sau khi xác định họ thông qua cơ sở dữ liệu bị đánh cắp. Mert Mumtaz, đồng sáng lập của Helius, cảnh báo rằng việc rò rỉ thông tin khách hàng sẽ tiếp tục xảy ra trong toàn bộ ngành cung cấp phần mềm, và người dùng tiền điện tử cần giảm lượng thông tin cá nhân mà họ chia sẻ giữa các dịch vụ. Ông khuyến nghị sử dụng địa chỉ email riêng, mật khẩu mạnh, sử dụng xác thực đa yếu tố dựa trên phần cứng thay vì SMS, và giao hàng đến địa điểm công cộng thay vì nhà riêng. Ngoài ra, ông cũng khuyến nghị sử dụng nhiều hơn một ví phần cứng để bảo vệ tài sản lớn, và bật tính năng xác thực đa chữ ký (multisig). Trezor dự kiến sẽ triển khai dịch vụ giao hàng ẩn danh tại EU vào tháng 9 năm 2026 và tại Hoa Kỳ vào cuối năm nay, bao gồm việc nhận hàng tại hộp thư, đóng gói trung tính và tự động xóa thông tin nhận dạng sau khi giao hàng.