Portofelul hardware și-a făcut treaba impecabil. Cheile private au rămas în cip, codul PIN nu a ajuns nicăieri, fraza de recuperare a rămas acolo unde a notat-o proprietarul. Și totuși, aproape 14.000 de cumpărători ai producătorului ceh au primit în august un e-mail care îi anunța că numele lor, adresa de acasă și numărul de telefon circulă acum în afara oricărui control. Explicația nu ține de criptografie. Ține de logistică.
Trezor a anunțat pe 13 august 2026 că o listă de comenzi a ieșit din sistemele ShipMonk, partenerul care îi depozitează și îi expediază produsele pe mai multe piețe. Este vorba despre 13.689 de clienți care au primit un colet în intervalul dintre 10 mai și 8 august, din șapte țări, printre care Statele Unite, Marea Britanie și Brazilia. România nu se numără printre ele. Infrastructura producătorului nu a fost atinsă și nicio cheie privată nu a fost expusă. S-a pierdut altceva, iar acel altceva nu se schimbă cu un clic, așa cum se schimbă o parolă compromisă.
Ce a ieșit din depozit și cine se află pe listă
Împărțirea celor afectați în două grupuri nu este un detaliu statistic. Ea decide cât de mare este problema fiecăruia.
Pentru 11.742 de persoane, expunerea a fost completă. Acolo unde spun completă, înțelegeți nume întreg, adresă de e-mail, număr de telefon și adresa fizică la care a fost lăsat pachetul. Restul de 1.947 de clienți figurează doar cu nume, oraș și e-mail. Prima categorie a devenit peste noapte un profil terminat, gata de folosit de oricine cumpără sau descarcă setul. A doua rămâne expusă fraudelor țintite, însă fără componenta geografică precisă care transformă un incident digital într-o problemă de siguranță personală.
Partenerul de expediere deținea strict informațiile necesare pentru ca un colet să ajungă la ușă. Nu avea parole. Nu avea coduri PIN, documente de identitate sau fraze de recuperare, din motivul simplu că un depozit nu are ce face cu ele. Comenzile onorate prin Amazon au rămas în afara perimetrului, fiindcă traseul lor nu trece prin ShipMonk.
Cazul a fost documentat pe larg de Mihai Popa, jurnalistul care semnează analizele de securitate de pe Cryptology.ro, publicație independentă de știri crypto în limba română, unde a fost reconstituită cronologia completă a incidentului împreună cu reacțiile companiilor implicate.
Ușa din spate a fost un instrument de raportare
Cuvântul hack trimite cu gândul la un dispozitiv spart sau la o criptare învinsă. Realitatea acestui caz este mult mai banală și tocmai de aceea mai instructivă.
ShipMonk a comunicat celor de la Trezor pe 10 august că cineva pătrunsese neautorizat în sistemele unde se aflau datele de comandă. Punctul de intrare, potrivit notificărilor consultate de publicația de securitate BleepingComputer, a fost o vulnerabilitate dintr-un instrument terț de analiză a datelor, Metabase. Furnizorul acelui software anunțase pe 6 august că o breșă de tip SQL injection permisese obținerea de drepturi de administrator pe instanțele afectate.
Metabase este o platformă de business intelligence pe care mii de companii o folosesc pentru rapoarte interne. Nu are nicio legătură cu criptomonedele. Prin ea, o echipă de operațiuni verifică ce comenzi au plecat din depozit, iar pentru asta primește acces de citire la bazele de date reale, cu tot ce conțin ele.
O firmă care livrează cosmetice sau piese auto ar fi pierdut exact același tabel, în exact același fel. Diferența apare abia la pasul următor, când cineva se uită la ce era în cutie și înțelege ce fel de client are în față. Ulterior, ShipMonk a primit și mesaje de extorcare din partea grupării ShinyHunters, un nume familiar oricui a urmărit valul de scurgeri corporative din ultimii ani.
De ce o adresă poștală valorează mai mult decât o parolă
Într-o scurgere obișnuită, sfatul standard este schimbarea parolei. Aici sfatul nu are obiect, pentru că nicio credențială nu s-a pierdut. S-a pierdut ceva ce nu poate fi înlocuit.
Fraudele care sună credibil pentru că sunt credibile
O tentativă de înșelăciune cade, de regulă, la primul detaliu care nu se potrivește. Mesajele scrise în formule generice, cu greșeli de acord, se demască singure. Un apel în care interlocutorul îți rostește numele complet, îți menționează orașul și îți citește numărul comenzii primite în iunie trece de filtrul de neîncredere al majorității oamenilor. Nu fiindcă victima ar fi naivă, ci fiindcă datele exacte funcționează ca o scrisoare de acreditare.
Compania a repetat un singur mesaj, formulat cât se poate de direct. Nimeni din partea ei nu cere niciodată backupul portofelului. Regula are avantajul că funcționează ca un test binar. În clipa în care cineva solicită, prin orice canal, cele 12, 20 sau 24 de cuvinte de recuperare, discuția s-a încheiat, oricât de convingător ar suna restul conversației.
Mihai Popa, analist crypto la aceeași redacție, observă că incidentele de acest tip produc cele mai multe pierderi în lunile care urmează, nu în ziua anunțului, fiindcă atacatorii lucrează pe termen lung cu informația obținută; pentru cine abia își configurează primul portofel, ghidurile pentru începători din Crypto Academy de pe Cryptology.ro explică pe îndelete de ce fraza de recuperare nu se introduce nicăieri, sub niciun pretext.
Riscul care nu se mai petrece pe ecran
Partea fizică a acestor campanii este cel mai des subestimată. După scurgerea suferită de Ledger în 2020, o parte dintre victime au primit acasă dispozitive contrafăcute, construite să instaleze cod malițios în calculatorul celui care le conecta. Cinci ani mai târziu, aceleași date au alimentat un val de scrisori tipărite pe hârtie cu antet, care cereau validarea frazei de recuperare printr-un cod QR imprimat pe pagină. Un plic sosit prin poștă are o autoritate psihologică pe care un e-mail nu o va avea niciodată.
Statisticile arată de ce a crescut miza. Raportul Chainalysis publicat în august 2026 numără 46 de atacuri violente asupra deținătorilor de criptomonede în prima jumătate a anului, cu peste 30 de milioane de dolari sustrași efectiv sub amenințare, față de 58 de milioane în tot anul 2025. Franța a devenit epicentrul fenomenului. Îngrijorător este și că o parte tot mai mare dintre agresiuni vizează rudele deținătorului, nu deținătorul însuși.
Cele 90 de zile care au redus paguba de zece ori
Partea din acest incident pe care alte companii ar face bine să o studieze nu este eșecul, ci limitarea lui.
Trezor șterge sau anonimizează datele de comandă la 90 de zile după livrare și a impus aceeași obligație partenerilor de fulfillment, prin contract. Din acest motiv, atacatorii nu au găsit în sistemele ShipMonk decât comenzile din fereastra de trei luni anterioară datei de 8 august. Tot ce fusese livrat înainte de 10 mai dispăruse deja.
În loc de o listă cu toți cumpărătorii din istoria companiei, adică potențial sute de mii de oameni, atacatorii au obținut un fișier cu mai puțin de 14.000 de intrări. Diferența nu vine dintr-o tehnologie de vârf, ci dintr-o clauză negociată din timp cu un furnizor. Se vede totuși și limita metodei, fiindcă politica protejează perfect clienții vechi și deloc pe cei recenți. Cine a comandat un dispozitiv în iulie nu a beneficiat de nimic, datele lui aflându-se încă în sistem, în mod cât se poate de legitim.
Ledger, același tipar cu șase ani în urmă
În iunie 2020, o cheie API configurată greșit a expus baza de date de marketing a companiei Ledger. Circa un milion de adrese de e-mail au ajuns în circulație, iar pentru aproximativ 9.500 de clienți au fost expuse și adresele poștale. Setul rămâne accesibil oricui îl caută, iar valurile de fraude pornite atunci nu s-au oprit nici astăzi. În ianuarie 2026, aceeași companie a raportat un al doilea incident, produs la Global-e, procesatorul care îi gestionează comenzile internaționale.
Structura acestor cazuri este aproape identică cu a celui de față. Producători rivali, incidente apărute la furnizori externi, infrastructură proprie rămasă intactă. Nici Trezor nu este la prima experiență de acest fel, fiindcă în ianuarie 2024 un portal terț de ticketing a expus datele a circa 66.000 de persoane care contactaseră suportul. Numitorul comun este, de fiecare dată, un serviciu extern.
Livrarea anonimă și ce ar schimba ea
Răspunsul pe termen lung anunțat de companie atacă exact punctul unde politica de retenție se oprește. Trezor pregătește o opțiune de livrare anonimă, prin care un client ar putea primi un portofel hardware fără să predea comerciantului date de identificare, folosind un flux de checkout dedicat și ridicare din puncte de tip locker. Lansarea este anunțată în Uniunea Europeană până în septembrie 2026 și în Statele Unite până la finalul anului.
Rămân întrebări deschise privind facturarea, retururile și regulile vamale, fiindcă un locker rezolvă problema adresei de domiciliu, nu și pe cea a documentului fiscal. Direcția atinge însă o chestiune care nu aparține unui singur producător. Orice comerciant care vinde un obiect fizic asociat cu active digitale generează, prin simplul act al vânzării, o listă de oameni care merită jefuiți.
Ce face acum cineva care a primit un colet vara aceasta
Prima verificare este și cea mai simplă. Fiecare client afectat a primit o notificare individuală de la adresa oficială de suport, așa că cine nu a primit acest mesaj nu figurează în setul compromis. Orice e-mail care susține contrariul și cere date suplimentare trebuie tratat ca tentativă de fraudă.
Pentru ceilalți, punctul de plecare este acceptarea unei realități incomode. Informațiile nu mai pot fi retrase. Se poate schimba doar comportamentul din jurul lor, ceea ce înseamnă tratarea oricărui apel nesolicitat pe tema criptomonedelor ca ostil din start și verificarea fiecărui mesaj prin accesarea manuală a site-ului oficial, niciodată prin linkul primit. Regula privind fraza de recuperare nu suportă excepții. Cuvintele nu se introduc pe niciun site, nu se fotografiază și nu se comunică nimănui, oricare ar fi pretextul invocat.
Pentru cei cu adresa fizică expusă, discuția depășește zona digitală. Un dispozitiv primit prin poștă fără să fi fost comandat nu se conectează la calculator sub niciun motiv, oricât de autentic ar arăta ambalajul. Sumele importante merită mutate într-o configurație multisemnătură, care face imposibil transferul rapid al fondurilor chiar și sub presiune, tocmai fiindcă un deținător care demonstrabil nu poate transfera singur devine o țintă neinteresantă. Iar discreția rămâne cea mai ieftină măsură de securitate disponibilă, într-o perioadă în care fiecare comandă de portofel hardware devine o înregistrare într-o bază de date pe care cineva, undeva, o poate consulta fără permisiune.
Sursa originală a informațiilor este articolul semnat de Mihai Popa și publicat pe Cryptology.ro în 17 august 2026, sub titlul Trezor confirmă scurgerea datelor a 13.689 de clienți după atacul asupra firmei care îi expedia coletele.
Comentarii recente