Vineri, 4 septembrie, producătorul ceh de portofele hardware Trezor a publicat o actualizare scurtă pe blogul propriu și pe contul de X, iar acea actualizare a schimbat complet dimensiunea unui incident despre care compania spusese, cu trei săptămâni înainte, că fusese ținut sub control.
Încă aproximativ 67.000 de clienți din Statele Unite au fost afectați de spargerea sistemelor ShipMonk, firma care se ocupa de livrarea coletelor. Numărul total al persoanelor ale căror date personale au ajuns în mâinile atacatorilor trece acum de 80.000.
Trezor a formulat mesajul într-un fel neobișnuit de direct pentru o companie care tocmai a pierdut date de client. „Ne pare teribil de rău pentru toti cei afectați”, a scris compania, adăugând că lucrează la introducerea livrării anonime cât mai repede posibil, astfel încât cine comandă un dispozitiv să nu mai fie nevoit să își lase numele și adresa într-o bază de date pe care nu o controlează.
Partea care merită citită de două ori nu este însă numărul. Este explicația.
Anunțul de vineri și cifrele care au crescut de două ori
Cronologia acestui caz spune mai mult decât orice comunicat. Pe 6 august a fost făcută publică o vulnerabilitate critică de tip SQL injection în Metabase, un instrument de analiză a datelor folosit de mii de companii pentru a construi rapoarte interne. Defectul, catalogat CVE-2026-72898 și punctat cu scorul maxim de 10 pe scala CVSS, permitea unui atacator neautentificat să extragă credențialele bazelor de date conectate. Cu alte cuvinte, cine găsea instanța expusă în internet putea ajunge, în câțiva pași, la tot ce alimenta acele rapoarte.
Pe 10 august, ShipMonk a anunțat Trezor că sistemele sale fuseseră accesate neautorizat. Prima evaluare vorbea despre 13.689 de clienți. Dintre ei, 11.742 aveau expuse numele complet, adresa de email, numărul de telefon și adresa de livrare, iar alți 1.947 apăreau cu date parțiale, nume, oraș și email. Comenzile acopereau intervalul 10 mai – 8 august și proveneau din șapte țări, între care Statele Unite, Marea Britanie, Suedia, Columbia, Brazilia, Italia și Portugalia. Comenzile plasate prin Amazon nu au fost atinse, fiindcă mergeau pe un alt canal logistic.
Atunci, Trezor a explicat că paguba ar fi putut fi mult mai mare, dar că partenerii companiei aplicau o politică de ștergere a datelor la 90 de zile după livrare. Ideea suna rezonabil. Dacă informațiile despre comenzi dispar la trei luni, o spargere prinde doar un sertar, nu toată arhiva.
Pe 2 septembrie, ShipMonk a revenit cu o veste care demonta acea explicație. Setul de date furat conținea și comenzi din perioada noiembrie 2019 – august 2021, adică dintr-o colaborare mai veche între cele două companii. Datele acelea ar fi trebuit să nu mai existe de ani buni. Existau. Iar de această dată expunerea era completă, cu nume, email, telefon, adresă de livrare și număr de comandă.
„Înțelegerea noastră este că a fost trecută cu vederea cooperarea din acei ani atunci când s-a stabilit sfera inițială a incidentului”, a transmis Trezor, care a mai precizat că, pe toată durata relației contractuale, a cerut și a primit în mod repetat confirmări scrise privind ștergerea datelor.
Confirmările existau. Ștergerea, nu.
Politica de ștergere a datelor care a rămas pe hârtie
Aici se află miezul poveștii, și el nu ține de criptomonede. Ține de felul în care funcționează, sau nu funcționează, contractele dintre companii atunci când una dintre ele îi încredințează celeilalte datele clienților.
Trezor a făcut, formal, ceea ce trebuia. A pus în contract o clauză de retenție limitată. A cerut periodic dovada că datele vechi au fost distruse. A primit acea dovadă în scris. Ceea ce nu a făcut, se pare, a fost să verifice independent dacă hârtia corespundea realității din serverele partenerului. Compania a spus pentru Protos că nu avea motive să se aștepte la scurgeri suplimentare, tocmai din cauza asigurărilor repetate primite, și că este prea devreme pentru a decide ce măsuri va lua față de ShipMonk. Un audit suplimentar al furnizorului este în pregătire.
ShipMonk, între timp, nu a recunoscut public incidentul. Compania ar fi primit emailuri de extorcare atribuite grupării ShinyHunters, o structură cunoscută pentru atacuri asupra platformelor SaaS și a firmelor fintech, deși atribuirea nu a fost confirmată independent.
Ce înseamnă retenția de 90 de zile pentru un cumpărător obișnuit?
Traducerea în limbaj de zi cu zi este simplă. Când comanzi ceva online, magazinul are nevoie de datele tale pentru a-ți trimite pachetul. După ce pachetul ajunge și trece perioada de retur și de garanție, cea mai mare parte a acelor informații nu mai servește nimănui, în afară de eventualele obligații contabile. Regulamentul european de protecție a datelor spune destul de clar că datele nu se păstrează mai mult decât e necesar pentru scopul în care au fost colectate.
O politică de 90 de zile este promisiunea că, la trei luni după ce curierul ți-a sunat la ușă, tu dispari din baza de date operațională. Este exact genul de măsură care, aplicată corect, transformă o spargere majoră într-un incident minor. Aplicată doar pe hârtie, are efectul invers.
Creează o falsă siguranță atât pentru companie, care își subestimează expunerea, cât și pentru client, care își imaginează că urma lui digitală s-a evaporat.
Cine a comandat un portofel Trezor în noiembrie 2019 avea toate motivele să creadă că acele date nu mai există. Erau acolo, intacte, șase ani și jumătate mai târziu.
Informațiile scurse nu se pot schimba cu o parolă nouă
Un aspect care se pierde adesea în discuțiile despre scurgeri de date este natura informațiilor implicate. Când o platformă îți pierde parola, soluția durează un minut. Când îți pierde numărul de card, banca îl blochează și îți emite altul. Ambele sunt neplăcute, dar reparabile.
Numele tău, numărul tău de telefon și adresa la care locuiești nu funcționează așa. Cei mai mulți oameni păstrează același număr de telefon zece sau cincisprezece ani. Se mută rar. Adresa de email personală rămâne aceeași de la prima angajare până la pensie. Un consultant în criminalitate informatică remarca, într-o discuție despre scrisorile false trimise anul trecut posesorilor de portofele hardware, că o listă cu nume și adrese rămâne utilă infractorilor ani la rând, tocmai din acest motiv.
Mai adaugă un detaliu. Această listă nu conține abonați la o revistă de grădinărit. Conține oameni despre care se știe cu certitudine un lucru foarte specific, anume că au cumpărat un dispozitiv care servește exclusiv la păstrarea criptomonedelor. Nimeni nu comandă un portofel hardware din curiozitate decorativă. Combinația dintre „această persoană deține cripto” și „iată unde locuiește” este, din perspectiva unui atacator, exact profilul pe care ar plăti bani să îl obțină.
Trezor a subliniat, corect, că dispozitivele rămân sigure și că sistemele proprii nu au fost compromise. Cheile private nu părăsesc niciodată portofelul, iar o listă de adrese nu deschide nimic. Riscul nu este tehnic. Este uman.
Cum arată, în practică, atacul care urmează după o asemenea listă?
Modelul este cunoscut și a fost documentat în detaliu după incidentele similare din ultimii ani. Nimeni nu încearcă să spargă cipul securizat din dispozitiv. Se atacă persoana care îl deține, folosind exact acele informații care fac mesajul credibil.
Scrisoarea din cutia poștală, varianta care ajunge și în România
În februarie, posesori de portofele Trezor și Ledger au primit acasă scrisori pe hârtie, tipărite profesionist, cu holograme, coduri QR și semnături falsificate ale unor directori din companii. Textul îi anunța că trebuie să activeze o verificare de securitate obligatorie, altfel își pierd accesul la fonduri. Codul QR ducea către o pagină care semăna cu site-ul oficial și care cerea, într-un formular curat și liniștitor, cele 24 de cuvinte de recuperare.
Cine introduce acele cuvinte pierde tot, imediat și ireversibil.
Pentru un cititor din România, mecanismul nu este deloc exotic. Este aceeași logică din spatele SMS-urilor despre coletul oprit în vamă care cer trei lei taxă de deblocare, sau al mesajelor care imită Poșta Română și firmele de curierat locale. Diferența, și este o diferență importantă, ține de calitatea informației din spate. Un SMS trimis în masă către zeci de mii de numere alese aleatoriu se recunoaște ușor, fiindcă nu știe nimic despre tine.
O scrisoare care îți scrie corect numele, adresa completă, inclusiv numărul apartamentului, și care menționează un număr de comandă real din 2020 nu mai declanșează aceleași alarme. Pare corespondență legitimă, fiindcă are toate atributele exterioare ale corespondenței legitime.
Un scenariu concret. Cineva din Cluj-Napoca a comandat un Trezor Model T în primăvara lui 2020, în perioada în care piața cripto începea să se miște din nou. Coletul a venit, dispozitivul a fost configurat, cele 24 de cuvinte au fost scrise pe hârtia din cutie și puse într-un sertar.
Șase ani mai târziu, în cutia poștală apare un plic cu antet, expediat aparent dintr-o țară din Uniunea Europeană, care se referă la o „actualizare obligatorie de firmware pentru dispozitivele fabricate înainte de 2021” și care conține numărul comenzii din 2020. Un om rezonabil, care nu urmărește zilnic știrile despre securitate, are toate motivele să creadă că mesajul vine de la producător.
Apelul telefonic care pare să știe deja totul despre tine
Varianta prin telefon funcționează pe același principiu, doar că adaugă presiunea timpului. Procesul intentat companiei Ledger la New York conține un exemplu care merită povestit în detaliu, fiindcă arată cât de bine construite sunt aceste scenarii.
Douglas Kim, un client care cumpărase primul dispozitiv prin 2017, a primit în februarie 2025 un apel de la o persoană care s-a prezentat drept reprezentant al Coincover, descris ca fiind un departament din interiorul Ledger. Vocea de la telefon l-a informat că cineva din Olanda încercase să îi înroleze contul într-un serviciu de recuperare. Sună alarmant și sună specific. Kim a fost îndrumat către un site care semăna cu cel oficial și i s-a cerut să introducă fraza de recuperare pentru a reseta dispozitivul, primind în schimb una nouă. Două zile mai târziu, a constatat că îi lipseau criptomonede în valoare de 1.948.074 de dolari. Nu a recuperat nimic.
Adaptat la realitatea locală, apelul ar veni de la un număr cu prefix românesc, interlocutorul ar vorbi română fără accent și ar începe conversația confirmând date pe care doar magazinul le-ar putea ști. Aceeași metodă este folosită de ani buni de falșii angajați ai băncilor care sună clienții și îi conduc pas cu pas către o aplicație de acces la distanță. Ce se schimbă este ținta. În loc de contul curent, țintește un portofel din care nicio bancă nu poate face storno.
Regula care ține în picioare tot acest edificiu este una singură și nu are excepții. Cele 24 de cuvinte nu se introduc nicăieri în afară de dispozitivul propriu, nu se fotografiază, nu se dictează la telefon și nu se scriu într-un formular, indiferent cine le cere și indiferent cât de urgent pare motivul. Nicio companie legitimă nu le va cere vreodată.
Partea despre care industria vorbește cel mai puțin
Trezor a menționat, în avertismentul trimis clienților, că informațiile scurse ar putea expune persoanele afectate și unor riscuri de securitate fizică. Formularea este sobră, dar în spatele ei se află un fenomen documentat.
Pe 21 ianuarie 2025, David Balland, cofondator al Ledger, a fost răpit împreună cu partenera sa de la locuința lor din Vierzon, în centrul Franței. Răpitorii au cerut o răscumpărare de zece milioane de euro în criptomonede și, pentru a face presiune, i-au tăiat un deget, trimițând înregistrarea unui alt cofondator al companiei. Ambele victime au fost eliberate de jandarmeria franceză în zilele următoare, o parte din răscumpărare a fost urmărită și blocată, iar mai mulți suspecți au fost arestați, ultimul dintre ei în Spania, la Benalmádena, pe baza unui mandat european.
Cazul acesta a implicat un fondator cunoscut, nu un client oarecare, iar exemplele de acest tip rămân, statistic, rare în raport cu numărul enorm de oameni care dețin criptomonede. Ar fi nedrept să transformăm o scurgere de date într-o poveste de groază. Merită însă spus lucrul care contează pentru cititorul obișnuit, anume că discreția are o valoare practică. Cine nu își anunță deținerile pe grupuri publice, cine nu postează capturi de ecran cu soldul portofelului și cine nu discută despre sume la petreceri își reduce considerabil expunerea, indiferent de ce baze de date se scurg în lume.
Trezor nu este prima companie din acest domeniu care pierde date de client, iar precedentul cel mai citat aparține concurentului francez. În 2020, o breșă la Ledger a expus informațiile a peste 270.000 de clienți, inclusiv nume, adrese fizice și numere de telefon, iar acele date au circulat ulterior pe canale de piață neagră. În decembrie 2023, o altă problemă, de această dată cod malițios introdus într-o bibliotecă folosită pentru conectarea portofelelor la aplicații web, a permis redirecționarea unor fonduri.
Pe 27 august 2026, un client a depus la tribunalul federal din sudul New Yorkului o acțiune colectivă care cere cel puțin 500 de milioane de dolari despăgubiri. Plângerea susține că firma a minimizat gravitatea incidentelor, nu și-a informat clienții la timp și nu a corectat deficiențele de securitate după prima breșă. Ledger a răspuns că nu comentează chestiuni aflate pe rol.
Ceea ce leagă cele două povești nu este marca dispozitivului, ci un tipar de comunicare. În ambele cazuri, prima reacție publică a companiei a fost să prezinte incidentul ca fiind mai mic decât s-a dovedit ulterior. Trezor a explicat pentru Protos că, de această dată, nu a mai contactat redacția în avans fiindcă informația era publică oricum, iar prioritatea a fost să ajungă la oamenii efectiv afectați. Este o justificare rezonabilă. Rămâne totuși un contrast vizibil față de luna august, când compania a ales să comunice proactiv presei o veste care, în varianta de atunci, arăta mult mai bine.
Punctul slab nu a fost portofelul, ci un tabel de raportare
Merită insistat asupra acestui detaliu, fiindcă el schimbă felul în care ar trebui să gândim securitatea unei companii.
Atacatorii nu au atins niciun moment infrastructura Trezor. Nu au spart firmware. Nu au compromis procesul de fabricație. Au găsit o instanță Metabase expusă în internet, un instrument banal de business intelligence pe care echipele îl folosesc ca să vadă câte colete au plecat săptămâna trecută și către ce state. Prin acea instanță au ajuns la baza de date cu comenzi.
Aceeași vulnerabilitate a lovit, în același val, și alte companii fără nicio legătură cu criptomonedele, între care producătorul de laptopuri Framework și platforma de formulare Tally. Cu câteva săptămâni înainte, Valve își anunțase clienții europeni că datele lor de livrare fuseseră furate printr-o spargere la CEVA Logistics, partenerul care se ocupa de expedierea produselor hardware. Tiparul se repetă cu o regularitate care ar trebui să pună pe gânduri orice companie care externalizează logistica.
Pentru un magazin online din România, lecția se traduce fără efort. Datele clienților nu stau doar în platforma proprie, bine păzită. Ele ajung în sistemul firmei de curierat, în platforma de facturare, în instrumentul de email marketing, în softul de suport clienți și în raportul pe care cineva din firmă l-a construit acum trei ani și l-a lăsat accesibil pe un subdomeniu uitat. Securitatea unui lanț este dată de veriga cea mai slabă, iar veriga cea mai slabă este aproape întotdeauna cea pe care nimeni nu și-o mai amintește.
Livrarea anonimă, promisiunea care sună bine și limitele ei
Măsura anunțată de Trezor merită analizată, fiindcă este singura care atacă problema la rădăcină. Dacă firma de livrări nu primește niciodată numele real al cumpărătorului, o spargere la acel furnizor nu mai produce o listă de posesori de cripto.
Implementarea este însă mai complicată decât pare. Curierul are nevoie de o adresă validă și de un destinatar care poate fi identificat la predare. Soluțiile posibile trec prin livrarea la puncte de ridicare și lockere, prin pseudonimizarea numelui în sistemele terților, cu decodificarea făcută doar la nivelul comerciantului, sau prin coduri de ridicare care înlocuiesc identitatea. Fiecare variantă are un cost operațional și un impact asupra ratei de livrare cu succes.
În România, infrastructura pentru așa ceva funcționează deja destul de bine. Rețelele de easybox și punctele de ridicare din magazine sunt folosite masiv, iar ridicarea pe bază de cod este un obicei format. Un cumpărător atent poate obține astăzi, singur, o parte din beneficiu, comandând la un locker în loc de adresa de acasă și folosind o adresă de email dedicată exclusiv acestui tip de achiziții. Nu rezolvă problema numelui real, dar scoate din ecuație informația cea mai sensibilă, adică unde locuiește efectiv persoana respectivă.
Ce poate face acum cineva care a cumpărat un portofel hardware din România?
Primul lucru, și cel mai important, este să nu intre în panică pe baza unei presupuneri. Cele 67.000 de persoane anunțate vineri sunt clienți din Statele Unite, iar valul din august acoperea șapte țări în care România nu figura. Asta nu înseamnă automat că niciun român nu este atins, fiindcă unii cumpără cu livrare la o adresă din altă țară, iar altcineva poate fi în situația în care comanda a fost plasată de un prieten sau de o firmă.
Criteriul oficial este simplu. Trezor a transmis emailuri directe tuturor persoanelor afectate, de la adresa de notificare a companiei. Cine nu a primit un astfel de mesaj nu se află în setul de date scurse. Cine a primit unul ar trebui, paradoxal, să fie și mai atent la mesajele care vor urma, fiindcă exact în perioada de după o notificare oficială apar valurile de emailuri false care imită comunicarea companiei.
Verificările care iau zece minute
Merită deschis clientul de email și căutată adresa oficială a producătorului, nu linkul dintr-un mesaj primit. Merită verificat dacă adresa personală apare în seturi de date compromise, prin serviciile publice de tip notificare de breșă. Merită schimbată parola contului de email folosit la comandă și activată autentificarea în doi pași cu o aplicație, nu prin SMS, fiindcă numărul de telefon este exact informația care a ieșit din baza de date.
Pentru cine are un buget mai mare în autocustodie, pasul următor este o frază suplimentară de acces, adăugată peste cele 24 de cuvinte. Efectul practic este că o persoană care ar obține fizic dispozitivul și hârtia cu cuvintele tot nu ar ajunge la fonduri. Este o măsură care merită înțeleasă bine înainte de a fi activată, fiindcă pierderea acelei fraze înseamnă pierderea accesului, fără posibilitate de recuperare.
Și mai este ceva, mai puțin tehnic. O discuție de cinci minute cu familia. Oamenii din casă trebuie să știe că nimeni nu sună de la producător, că nicio scrisoare oficială nu cere cuvinte de recuperare și că, dacă apare un asemenea mesaj, răspunsul corect este să nu se răspundă deloc.
Ce cere legea din partea firmelor care îți păstrează adresa?
Pentru clienții din Uniunea Europeană, cadrul este dat de Regulamentul general privind protecția datelor. Operatorul are obligația să notifice autoritatea de supraveghere în 72 de ore de la momentul în care ia cunoștință de o breșă și să informeze persoanele vizate atunci când riscul pentru drepturile și libertățile lor este ridicat. Principiul limitării stocării spune că datele nu se păstrează la nesfârșit, iar operatorul rămâne responsabil pentru ce fac procesatorii cu care lucrează, inclusiv pentru respectarea instrucțiunilor de ștergere.
În România, autoritatea competentă este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, iar orice persoană care consideră că datele sale au fost prelucrate ilegal poate depune o plângere. Cazul de față arată de ce partea despre responsabilitatea față de subcontractanți nu este o formalitate birocratică. O clauză contractuală și o confirmare scrisă nu au împiedicat păstrarea unor date timp de aproape șapte ani peste termenul asumat.
Ce rămâne de urmărit după acest anunț?
Câteva fire ale poveștii sunt încă deschise. ShipMonk nu s-a exprimat public, ceea ce înseamnă că nu știm câte alte companii care lucrau cu acest furnizor se află în aceeași situație și nici dacă și ele au primit, la rândul lor, confirmări de ștergere neonorate. Auditul suplimentar anunțat de Trezor va spune dacă problema a fost o eroare izolată de inventariere sau o practică.
Iar procesul de la New York, chiar dacă îl vizează pe concurentul francez, va stabili un reper important pentru întreaga industrie, fiindcă atacă exact zona în care companiile de hardware cripto s-au simțit până acum protejate, adică distanța dintre a pierde date de contact și a fi responsabil pentru fondurile furate ulterior prin înșelăciune.
Pentru cumpărătorul obișnuit, concluzia practică este mai simplă decât toate acestea. Un portofel hardware protejează cheile, nu identitatea. Cine cumpără unul își asumă, în forma actuală a comerțului online, că numele și adresa sa ajung în cel puțin trei sisteme informatice diferite, dintre care doar unul aparține producătorului.
Până când livrarea anonimă devine standard, singurele instrumente rămân alegerea unui punct de livrare neutru, o adresă de email separată și obiceiul, greu de format dar foarte eficient, de a nu răspunde niciodată la mesaje care sună urgent.
Întrebări frecvente
Nu. Compania a confirmat că sistemele sale nu au fost accesate și că portofelele rămân sigure. Cheile private sunt generate și păstrate în dispozitiv și nu pot fi extrase printr-o breșă la un furnizor de logistică. Ce s-a pierdut sunt date de identificare și de livrare ale cumpărătorilor.
Trezor a notificat prin email direct toate persoanele din setul de date. Dacă nu ai primit un asemenea mesaj de la adresa oficială a companiei, nu ești în listă. Verificarea se face deschizând cutia poștală și căutând expeditorul, nu apăsând pe linkuri din mesaje primite ulterior.
Nume complet, adresă de email, număr de telefon, adresă de livrare și număr de comandă, pentru comenzi plasate între noiembrie 2019 și august 2021. Este vorba despre expunere completă, nu parțială, și privește aproximativ 67.000 de clienți din Statele Unite.
Pentru că politica nu a fost aplicată de partenerul de logistică. Trezor spune că a cerut și a primit confirmări scrise privind distrugerea datelor, conform contractului, dar că informațiile au rămas în sistemele ShipMonk. Compania a declarat că este foarte dezamăgită de această situație.
Să nu reacționezi la mesaj și să verifici direct, prin canalele oficiale pe care le deschizi tu, nu prin linkul, codul QR sau numărul de telefon din mesaj. Nicio companie care produce portofele hardware nu cere fraza de recuperare, nici prin email, nici prin scrisoare, nici la telefon. O cerere de acest tip este, fără excepție, o tentativă de furt.
Anunțul de vineri se referă la clienți din Statele Unite, iar valul din august acoperea Statele Unite, Marea Britanie, Suedia, Columbia, Brazilia, Italia și Portugalia. România nu a fost menționată în niciunul dintre cele două seturi. Criteriul rămâne notificarea directă prin email trimisă de companie.
Sursele acestui material sunt actualizarea publicată de Trezor pe blogul oficial, trezor.io/blog/news/recent-customer-data-exposed-in-shipping-provider-incident, și articolul semnat de Jacob Lyon pentru Protos, protos.com/trezor-says-mailing-breach-leaked-67k-more-users-than-first-thought, publicat pe 4 septembrie 2026.
