Üçüncü taraf tedarikçi arızaları zincirinin bir sonucu olarak on binlerce donanım kripto cüzdan müşterisi kimlik avı, dolandırıcılık telefonları ve hatta fiziksel posta saldırılarına maruz kaldı.
Trezor'un kargo ortağı ShipMonk, Ağustos 2026'da neredeyse 3.889 müşterinin adını, e-posta adresini, telefon numarasını ve kargo adresini ifşa eden bir ihlal yaşadı. 4 Eylül tarihli bir güncelleme, yaklaşık 67.000 ek ABD'li müşterinin — siparişleri Kasım 2019 ile Ağustos 2021 arasında verilmiş — de etkilendiğini ortaya koydu. Trezor'un üreticisi SatoshiLabs, ShipMonk'un müşteri verilerinin silindiğine dair yazılı onaylar aldığını, ancak verilerin aslında silinmediğini açıkladı.
9 Eylül'de ikinci bir ihlal daha yakın bir noktada gerçekleşti: Trezor'un üçüncü taraf e-posta sağlayıcısı ele geçirildi ve saldırganlar meşru gönderen alan adını kullanarak "STM32 Entropi Açığı" hakkında sahte bir güvenlik uyarısı olarak tasarlanmış kimlik avı e-postaları gönderdi. Tuzak, STM32'nin Trezor cihazlarındaki mikrodenetleyici ailesi olması ve entropinin kurtarma cümlelerini oluşturmada kullanılan rastgelelik olması nedeniyle ikna edicidir.
İsviçreli donanım cüzdan üreticisi BitBox, aynı gün bülten sağlayıcısının muhtemelen ele geçirildiğini ve abonelerine kimlik avı e-postaları gönderildiğini ayrı ayrı bildirdi. BitBox, aynı sağlayıcıyı paylaşan birden fazla Bitcoin şirketinin hedef alındığını söyledi.
"Trezor'un 2013'te kurulmasından bu yana müşteri telefon numaralarını ve kargo adreslerini ifşa eden bir ihlal yaşadığımız ilk kez," diyen SatoshiLabs, cüzdanların, özel anahtarların ve kurtarma yedeklerinin hiçbir zaman açığa çıkmadığını ekledi.
Saldırılar e-posta ile sınırlı değil: Reddit kullanıcıları, kimlik avı sitelerine yönlendiren QR kodları içeren dolandırıcılık mektupları ve telefon aldıklarını bildirdi. Gerçek kargo verilerinin altyapıyla birleşmesi bu saldırıları alışılmadık derecede tehlikeli kılıyor, çünkü mağdurlar gerçek sipariş ayrıntılarını referans alan meşru görünen yazışmalar alıyor.
Chainalysis, 2026'da kripto sahiplerini hedef alan şiddetli saldırıların arttığı konusunda uyarıda bulundu; yılın ilk yarısında fiziksel soygunlarla yaklaşık 30 milyon dolar ele geçirildiği tahmin ediliyor. Eğilim devam ederse 2026, 2025'in 58 milyon dolarlık toplamını aşabilir.
Trezor, müşterilerin e-posta tarafından yönlendirilen web sitelerine kurtarma cümleleri girmemesini, beklenmeyen telefon aramalarını ve mektupları doğrulanana kadar düşman olarak kabul etmelerini ve gerçek bildirimler için trezor.io'yu veya şirketin doğrulanmış X hesabını kontrol etmelerini tavsiye ediyor.
