Puntos clave de la noticia:
- Trezor afirma que una brecha en ShipMonk expuso información personal de 13.689 clientes, incluidos datos completos de contacto y envío de 11.742 personas.
- La compañía asegura que sus sistemas, hardware wallets, claves privadas y respaldos no fueron comprometidos, mientras una política de retención de 90 días limitó la exposición.
- Trezor advierte sobre riesgos de phishing porque nombres, teléfonos, correos y domicilios filtrados pueden vincular directamente la propiedad de criptomonedas con identidades y ubicaciones reales.
Trezor reveló una brecha de datos en ShipMonk, uno de sus socios de logística, que expuso información personal de 13.689 clientes que recibieron pedidos entre el 10 de mayo y el 8 de agosto. Para 11.742 personas, los datos robados incluyeron nombre completo, número de teléfono, correo electrónico y dirección de envío, mientras que otras 1.947 vieron expuestos su nombre, ciudad y correo. El incidente afectó a clientes de siete países. Lo más inquietante es que comprar una billetera física puede dejar un rastro de seguridad en el mundo real incluso cuando el dispositivo permanece técnicamente protegido.
La brecha del socio logístico convierte la privacidad de la billetera en un riesgo físico
Trezor afirma que sus propios sistemas no fueron comprometidos y que ningún dispositivo, clave privada o respaldo de billetera resultó afectado, separando el incidente de una falla directa de seguridad del hardware. ShipMonk notificó a la compañía el lunes que un tercero no autorizado había accedido a sistemas con información de clientes. La exposición fue limitada por la política de Trezor que exige a sus socios eliminar o anonimizar los datos de pedidos 90 días después de la entrega. Esa política de retención parece haber reducido considerablemente el alcance del incidente, porque los registros más antiguos ya no estaban disponibles cuando se produjo el acceso.
La compañía está advirtiendo ahora a los clientes afectados que desconfíen de comunicaciones inesperadas y que nunca introduzcan el respaldo de su billetera en línea. Trezor señaló que quienes no recibieron un correo de notificación no están afectados. Aun así, los datos filtrados ofrecen a los atacantes información suficiente para crear campañas de phishing mucho más convincentes, especialmente cuando pueden combinar nombres, teléfonos, correos y domicilios. El riesgo ya no se limita a enlaces o mensajes fraudulentos. Los datos de envío pueden vincular la propiedad de criptomonedas con una ubicación física real, ampliando el problema más allá de contraseñas y frases semilla.
El incidente resulta especialmente relevante porque Trezor afirmó que, en 13 años, nunca había sufrido anteriormente una brecha que expusiera números de teléfono y direcciones de envío de clientes. Sus dispositivos y respaldos permanecen intactos, pero el caso demuestra que el perímetro de seguridad también incluye a proveedores logísticos que nunca manejan claves privadas. La brecha desplaza así la atención hacia los datos operativos generados alrededor de la compra de una hardware wallet y no hacia la criptografía del dispositivo. Para los afectados, el desafío inmediato será gestionar la exposición de su identidad y ubicación mientras evitan ataques dirigidos de phishing o ingeniería social.
