Wat ShipMonk blootlegde, en wanneer

Op 13 augustus 2026 liet Trezor klanten weten dat ShipMonk, de externe magazijn- en verzendpartner die Trezor gebruikt voor de afhandeling van hardware-walletbestellingen, drie dagen eerder, op maandag 10 augustus, had gemeld dat onbevoegden toegang hadden gekregen tot systemen met klantgegevens. De blootstelling betreft bestellingen tussen 10 mei en 8 augustus 2026: bij 11.742 klanten werden volledige naam, e-mailadres, telefoonnummer en verzendadres blootgesteld, en bij nog eens 1.947 klanten werd een kleinere set gegevens, naam, stad en e-mailadres, buitgemaakt.

De getroffen klanten bevinden zich in ten minste zeven landen: de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilie, Italie en Portugal. Trezor zegt elke getroffen klant rechtstreeks per e-mail te hebben geinformeerd, en dat wie geen melding ontving niet is getroffen.

Hetzelfde lek, een ander slachtoffer

ShipMonk liet Trezor en de eigen klanten weten dat de inbraak terug te voeren was op een SQL-injectiekwetsbaarheid in Metabase, het business-intelligenceplatform dat veel bedrijven koppelen aan hun operationele data om interne dashboards te draaien. Dat is opvallend, want een aparte reeks datalekken eerder deze maand, bij Framework, Tally en LexisNexis, was terug te voeren op datzelfde onderliggende Metabase-lek, waarbij aanvallers via een niet-geauthenticeerd wachtwoord-resetpunt achtereenvolgens beheerderstoegang kregen tot de omgeving van elk bedrijf.

ShipMonk bevestigde ook afpersingsmails te hebben ontvangen van ShinyHunters, een groep met een lange staat van dienst in het laten volgen van inbraken bij SaaS- en BI-platforms door rechtstreekse betalingseisen aan het getroffen bedrijf, in plaats van, of naast, het stilletjes doorverkopen van de data. Trezor was expliciet dat de eigen hardware, firmware en accountsystemen op geen enkel moment zijn geraakt: ShipMonk beschikte alleen over de verzendgegevens die Trezor had afgestaan om een pakket bij een deur te krijgen, en Trezor noemde dit het eerste incident sinds de oprichting in 2013 waarbij telefoonnummers en verzendadressen van klanten zijn blootgesteld.

Waarom een verzendadres hier meer waard is dan een wachtwoord

De meeste leveranciersdatalekken van dit type worden onder dezelfde noemer weggezet: reken op overtuigendere phishingmails. Die lezing onderschat wat een verzendlijst gekoppeld aan een bestelling van een crypto-hardwarewallet anders maakt. Elke naam erop is een geverifieerde, adresbevestigde eigenaar van crypto-hardware voor zelfbeheer, een combinatie die criminelen die op zoek zijn naar fysieke doelwitten doorgaans niet halen uit een gestolen SaaS-klantenlijst, een gelekte forumdump of alleen on-chain analyse.

Chainalysis, het blockchain-analysebedrijf dat cryptogerelateerde criminaliteit volgt, heeft een oplopende reeks gewelddadige, fysieke aanvallen op cryptobezitters gedocumenteerd, zogeheten wrench-aanvallen, ontvoeringen, woninginbraken en dwang, gepleegd juist omdat het slachtoffer bekendstond of vermoed werd herstelbare digitale bezittingen te hebben. Chainalysis becijfert de bij deze fysieke aanvallen gestolen waarde op meer dan 30 miljoen dollar in de eerste helft van 2026 alleen al, nu al op koers om de circa 58 miljoen dollar van heel 2025 te overtreffen. Een lijst die een aanvaller een naam, een huisadres en het harde bewijs van hardwarewallet-bezit in handen geeft, is precies de brandstof waarop die trend draait.

Waar het standaardprotocol tekortschiet

De eerste reflex na zo'n datalek is de vertrouwde antiphishinglijst: let op nepbezorgberichten, klik niet op onverwachte links, controleer elk verzoek om een adres te bevestigen voor je reageert. Die stappen doen ertoe, maar beantwoorden hier het verkeerde dreigingsmodel. Phishing richt zich op een scherm. Een wrench-aanval richt zich op een voordeur, en geen enkele e-mailhygiene, hoe goed ook, verandert wie nu het echte adres van een klant heeft liggen naast het bewijs van hardwarewallet-bezit.

De nuttigere reactie voor iedereen op de getroffen lijst van Trezor is fysiek, niet digitaal: onaangekondigd persoonlijk contact, bezorgers, monteurs of ambtenaren die zich melden zonder afspraak, met dezelfde argwaan behandelen als een phishingmail, geen crypto-bezittingen gekoppeld aan een huisadres publiekelijk bevestigen, en, waar de volledige adresgegevens zijn getroffen, dit zien als aanleiding om de fysieke beveiliging van die locatie te herzien in plaats van alleen wachtwoorden te wijzigen die nooit gevaar liepen. Voor elk bedrijf dat een product verzendt waarvan het loutere bezit een klant als vermogend markeert, of het nu om crypto-hardware, juwelen of hoogwaardige elektronica gaat, geldt dezelfde logica: de data van een fulfilmentpartner is niet alleen een privacykwestie, het is een doelwitlijst in wording, en verdient een fysieke risicobeoordeling naast de gebruikelijke leveranciersbeveiligingsaudit.

Lees hierna: CEVA-lek treft Steam-kopers in heel Europa  |  De LiteLLM-inbraak bleef vijf maanden verborgen