Bezpečnost kryptoměn dostala další zásah. Osobní údaje téměř 14 tisíc majitelů kryptoměn se dostaly do rukou hackerů při úniku dat spojeném s hardwarovými peněženkami Trezor. Incident může dotčené zákazníky vystavit zvýšenému riziku phishingových podvodů a dalších forem útoků.
Pražská společnost Trezor ve čtvrtek oznámila, že k narušení bezpečnosti došlo u jednoho z jejích poskytovatelů přepravních služeb. Únik se týkal údajů zákazníků, kteří si pořídili hardwarové peněženky určené k bezpečnému uchovávání přístupových údajů ke kryptoměnám.
V případě 11 742 zákazníků byly odhaleny jejich jména, adresy, telefonní čísla a e-mailové adresy. U dalších 1 947 zákazníků se útočníci dostali ke jménům, městům bydliště a e-mailovým adresám. Celkem tak incident zasáhl téměř 14 tisíc lidí.
Samotný případ přichází v době, kdy se držitelé digitálních aktiv stále častěji stávají cílem nejen internetových podvodů a hackerských útoků, ale také fyzického násilí. Kryptoměny mohou být pro pachatele atraktivním cílem kvůli možnosti jejich rychlého a nevratného převodu.
Trezor prodává zařízení známá jako hardwarové neboli „cold“ peněženky. Jde o malá zařízení podobná USB diskům, na kterých uživatelé uchovávají své privátní klíče mimo internet. Právě oddělení citlivých údajů od online prostředí má výrazně omezit jejich vystavení klasickým hackerským útokům.
Cold peněženky jsou proto považovány za jeden z nejméně zranitelných způsobů, jak zabezpečit přístup ke kryptoměnovým aktivům uloženým online. Jejich popularita zároveň roste s tím, jak investoři hledají bezpečnější způsoby ochrany digitálních aktiv v době, kdy počet útoků na kryptoměnové platformy dosahuje rekordních hodnot.
Aktuální incident však ukazuje, že bezpečnostní riziko nemusí být omezeno pouze na samotné privátní klíče. Přestože zařízení uchovává klíče mimo internet, při jeho objednání a doručení vznikají další data, která mohou být spojena s konkrétním zákazníkem.
Trezor uvedl, že únik zasáhl zákazníky ve Spojených státech, Spojeném království, Švédsku, Kolumbii, Brazílii, Itálii a Portugalsku, kteří svá zařízení obdrželi mezi 10. květnem a 8. srpnem. Společnost se za incident omluvila a upozornila, že dotčení zákazníci mohou zaznamenat zvýšený počet phishingových pokusů.
Firma zároveň uvedla, že si uvědomuje závažnost situace a potenciální rizika pro zákazníky. Dosud však podle ní není znám žádný potvrzený případ podvodu, hackerského útoku nebo ohrožení bezpečnosti zákazníka, který by byl přímým důsledkem tohoto úniku.
Incident spojený s Trezorem přichází krátce po dalším závažném bezpečnostním problému, který zasáhl uživatele hardwarových peněženek. Jde tak již o druhý podobný problém během dvou týdnů, což znovu otevírá otázku rizik spojených se samostatnou správou kryptoměnových aktiv.
Dne 30. července bylo držitelům hardwarových peněženek Coldcard odcizeno více než 100 milionů dolarů. V tomto případě byla příčina odlišná od úniku zákaznických údajů u Trezoru. Chyba způsobila, že privátní klíče uživatelů nebyly generovány dostatečně bezpečně, což je následně vystavilo hackerským útokům.
Společnost TRM Labs zaměřená na analýzu digitálních aktiv v reakci na incident uvedla, že případ Coldcard ukazuje, že self-custody, tedy vlastní správa digitálních aktiv, riziko spíše přesouvá, než aby ho zcela eliminovala.
Oba incidenty mají odlišnou povahu. V případě Coldcard se problém týkal zabezpečení samotných privátních klíčů. U Trezoru šlo o osobní údaje zákazníků uchovávané externím poskytovatelem přepravních služeb. Společným prvkem však zůstává skutečnost, že uživatelé hardwarových peněženek mohou čelit rizikům i mimo tradiční scénář online útoku na kryptoměnovou platformu.
Význam ochrany osobních údajů navíc roste s tím, jak se kryptoměnoví investoři stávají terčem fyzických útoků. Pokud jsou informace o vlastnictví hardwarové peněženky propojeny se jménem a adresou konkrétní osoby, může mít jejich odhalení závažnější důsledky než běžný únik kontaktních údajů.
Blockchainová analytická společnost Chainalysis upozornila, že zločinci začali majitele kryptoměn vnímat jako vysoce hodnotné cíle. Důvodem je charakter digitálních aktiv, která představují majetek umožňující prakticky okamžitý a nevratný převod.
Rozsah problému dokládají statistiky fyzických útoků. Z 46 násilných útoků na kryptoměnové investory, které byly zaznamenány od začátku letošního roku, tvořily více než polovinu únosy. Více než třetina případů zahrnovala vniknutí pachatelů do domácností obětí.
Skutečný počet incidentů přitom může být vyšší, protože někteří majitelé kryptoměn nemuseli napadení oznámit.
Výrazným případem byl také loňský únos spoluzakladatele konkurenčního výrobce hardwarových peněženek Ledger a jeho manželky ve Francii. Oba byli později propuštěni. Událost upozornila na rizika, která mohou vzniknout ve chvíli, kdy pachatelé dokážou konkrétní osobu spojit s vlastnictvím významnějšího množství digitálních aktiv.
Trezor nyní pracuje na řešení, které má množství osobních údajů spojených s nákupem hardwarové peněženky omezit. Společnost připravuje anonymní způsob doručení, díky němuž by si zákazníci mohli objednat zařízení bez propojení nákupu s domácí adresou nebo skutečnou identitou.
Firma chce tuto možnost zpřístupnit do září napříč Evropskou unií. Nový systém reaguje právě na riziko, že informace vznikající při nákupu a přepravě zařízení mohou představovat citlivý článek celého procesu, i když samotné privátní klíče zůstávají uložené offline.
