Co ujawnił ShipMonk i kiedy

13 sierpnia 2026 roku Trezor poinformował klientów, że ShipMonk, zewnętrzny dostawca magazynowania i wysyłek, z którego Trezor korzysta do realizacji zamówień portfeli sprzętowych, poinformował go trzy dni wcześniej, w poniedziałek 10 sierpnia, o nieautoryzowanym dostępie do systemów zawierających dane klientów. Ujawnienie dotyczy zamówień złożonych między 10 maja a 8 sierpnia 2026 roku: u 11 742 klientów ujawniono pełne imię i nazwisko, adres e-mail, numer telefonu i adres dostawy, a u kolejnych 1947 skradziono węższy zestaw danych, imię i nazwisko, miasto oraz e-mail.

Dotknięci klienci znajdują się w co najmniej siedmiu krajach: w Stanach Zjednoczonych, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoszech i Portugalii. Trezor oświadczył, że powiadomił bezpośrednio mailowo każdego dotkniętego klienta, a osoby, które nie otrzymały powiadomienia, nie zostały objęte wyciekiem.

Ta sama luka, inna ofiara

ShipMonk poinformował Trezora i własnych klientów, że włamanie wynikało z podatności typu SQL injection w Metabase, platformie business intelligence, która wiele firm podłącza do swoich danych operacyjnych, aby prowadzić wewnętrzne panele analityczne. To istotne, ponieważ odrębna fala włamań na początku tego miesiąca, dotykająca Framework, Tally i LexisNexis, wynikała z tej samej podstawowej luki w Metabase, a atakujący wykorzystywali nieuwierzytelniony punkt resetowania hasła, aby kolejno uzyskać dostęp administratora do instancji każdej z firm.

ShipMonk potwierdził także, że otrzymał wiadomości wymuszające okup od grupy ShinyHunters, znanej z tego, że po włamaniach do platform SaaS i BI następują bezpośrednie żądania okupu wobec zaatakowanej firmy, zamiast cichej odsprzedaży danych lub obok niej. Trezor jasno stwierdził, że własny sprzęt, oprogramowanie układowe i systemy kont nigdy nie zostały naruszone: ShipMonk miał jedynie dane wysyłkowe, które Trezor mu przekazał, aby paczka trafiła pod drzwi, a Trezor nazwał to pierwszym incydentem od założenia firmy w 2013 roku, w którym ujawniono numery telefonów i adresy dostawy klientów.

Dlaczego adres dostawy jest tu wart więcej niż hasło

Większość wycieków u dostawców tego typu trafia pod ten sam nagłówek: spodziewaj się bardziej przekonujących wiadomości phishingowych. Taka interpretacja nie docenia tego, co odróżnia listę wysyłkowa powiązana z zamówieniem sprzętowego portfela kryptowalut. Każde nazwisko na niej to zweryfikowany, potwierdzony adresem właściciel sprzętu kryptowalutowego do samodzielnej opieki nad kluczami, kombinacja, której przestępcy szukający fizycznych celów zwykle nie mogą uzyskać że skradzionej listy klientów SaaS, wyciekniętego zrzutu forum ani samej analizy on-chain.

Chainalysis, firma analizująca blockchain śledząca przestępczość związana z kryptowalutami, udokumentowała eskalującą falę brutalnych, fizycznych ataków na posiadaczy kryptowalut, tak zwanych ataków typu wrench, porwań, włamań do domów i przymusu, dokonywanych właśnie dlatego, że ofiara była znana lub podejrzewana o posiadanie odzyskiwalnych aktywów cyfrowych. Dane Chainalysis wskazują wartość skradzioną w tych fizycznych atakach na ponad 30 milionów dolarów tylko w pierwszej połowie 2026 roku, co już stawia rok na kursie do przekroczenia około 58 milionów dolarów odnotowanych za cały 2025 rok. Lista, która daje atakującemu nazwisko, adres domowy i twardy dowód posiadania sprzętowego portfela, to dokładnie paliwo, na którym żyje ten trend.

Gdzie standardowy scenariusz zawodzi

Pierwszym odruchem po takim wycieku jest sięgnięcie po znana listę antyphishingowa: uważać na fałszywe wiadomości o dostawie, nie klikać w nieoczekiwane linki, weryfikować każda prośbę o potwierdzenie adresu przed odpowiedzią. Te kroki mają znaczenie, ale odpowiadają tu na zły model zagrożenia. Phishing celuje w ekran. Atak typu wrench celuje w drzwi wejściowe, a żadna higiena poczty, choćby najlepsza, nie zmienia tego, kto ma teraz prawdziwy adres klienta razem z dowodem posiadania sprzętowego portfela.

Bardziej przydatna reakcja dla każdego na dotkniętej liście Trezora jest fizyczna, nie cyfrowa: traktować niezapowiedziany kontakt osobisty, kurierów, techników czy urzędników pojawiających się bez zapowiedzi, z taka sama podejrzliwością jak wiadomość phishingowa, unikać publicznego potwierdzania posiadania kryptowalut powiązanego z adresem domowym, a tam, gdzie ujawniono pełny adres, potraktować to jako sygnał do przeglądu fizycznego bezpieczeństwa tego miejsca, a nie tylko do zmiany haseł, które nigdy nie były zagrożone. Dla każdej firmy wysyłającej produkt, którego samo posiadanie oznacza, że klient jest zamożny, czy to sprzęt kryptowalutowy, biżuteria czy elektronika wysokiej wartości, obowiązuje ta sama logika: dane dostawcy realizacji zamówień to nie tylko kwestia prywatności, to lista celów czekająca na zbudowanie, i zasługuje na przegląd ryzyka fizycznego obok zwykłego audytu bezpieczeństwa dostawcy.

Czytaj dalej: Wyciek CEVA dotyka nabywców Steam w Europie  |  Włamanie do LiteLLM ukrywano przez pięć miesięcy