13 августа Trezor раскрыл, что утечка данных у его партнёра по доставке, ShipMonk, обнажила личную информацию примерно 13 700 недавних клиентов, включая имена, номера телефонов и домашние адреса.

Основатель Binance Чанпэн Чжао (CZ) ответил, доказывая, что инцидент показывает реальное преимущество программных кошельков самокастодиальности, поскольку они не требуют доставки физического устройства, привязывающего личность покупателя к домашнему адресу.

Взлом Trezor выводит физические адреса в фокус

Trezor раскрыл инцидент после того, как ShipMonk, логистический провайдер, уведомил компанию в понедельник, 10 августа, о несанкционированном доступе к системам, хранящим данные заказов клиентов.

CZ отреагировал в четверг, утверждая, что инцидент подчёркивает разный профиль риска для аппаратной и программной самокастодиальности.

«Аппаратные кошельки часто считаются "более безопасными", чем программные кошельки», — написал он. «Хотя я всё ещё думаю, что это "в целом верно" в нескольких конкретных аспектах, этот инцидент усиливает преимущество программных кошельков самокастодиальности».

Он указал на примеры вроде Binance Web3 Wallet и Trust Wallet, которые не требуют доставки физического устройства, привязывающего личность и адрес пользователя к владению крипто.

CZ также не стал полностью отвергать аппаратные кошельки. «Не говорю, что аппаратные кошельки "плохие"», — написал он. «Просто разные профили». Он добавил, что YZiLabs является инвестором во многих компаниях аппаратных кошельков.

Вкладываясь в дебаты, NaoX Protocol сказал, что обнажённые адреса могли бы дать атакующим список верифицированных держателей крипто, на которых стоит нацеливаться лично. Руководитель по безопасности биткоина Ник Ньюман аналогично предупредил, что данные могли бы привести к целевой социальной инженерии и потенциально к «атакам гаечным ключом», где преступники используют физические угрозы, чтобы украсть средства.

Trezor сказал, что клиенты могли бы столкнуться с более изощрённым фишингом через email, телефонные звонки или письма. Он призвал пользователей никогда не вводить резервную копию своего кошелька онлайн и не делиться ею с кем-либо.

Тяжёлый отрезок для аппаратных кошельков

Тайминг добавляет к череде плохих заголовков для производителей аппаратных кошельков. В середине июля ончейн-исследователь ZachXBT назвал категорию непригодной для серьёзного использования, написав в Telegram, что «все аппаратные кошельки — полный мусор».

Он доказывал, что запасной телефон, используемый только для подписания транзакций, мог бы работать лучше, ссылаясь на севшие батареи, принудительные обновления прошивки и баги интерфейса как повторяющиеся проблемы. Взлом Trezor — другой вид провала, поскольку он касается обнажения через вендора, а не устройство, но он вписывается в тот же разговор о затратах за пределами seed-фразы.

Кроме того, на прошлой неделе Galaxy Research связала более $100 млн украденного биткоина с отдельной проблемой в старой прошивке Coldcard, которая генерировала seed-фразы кошельков со слабой случайностью, чем задумано. Coinkite залатала изъян в более новых релизах, но не может исправить seed-фразы, уже сгенерированные на затронутых устройствах, и сказала держателям своих моделей от Mk3 до Q переместить средства на незатронутое оборудование.

Это не первый раз, когда Trezor оказывается в такой ситуации: отдельный взлом, связанный со сторонним вендором поддержки, обнажил контактные данные примерно 66 000 пользователей в январе 2024 года.

Источник: CryptoPotato