Šta se desilo?

Proizvođač hardverskih novčanika Trezor objavio je da je bezbednosni incident kod njegovog logističkog partnera ShipMonk pogodio dodatnih približno 67.000 kupaca iz Sjedinjenih Američkih Država.

Novi podaci odnose se na korisnike koji su Trezor proizvode naručivali između novembra 2019. i avgusta 2021. godine. Incident je znatno većeg obima nego što je prvobitno objavljeno u avgustu, kada je Trezor prijavio izlaganje podataka gotovo 14.000 korisnika.

Posebno je problematično što je Trezor naveo da je tokom saradnje sa ShipMonk-om više puta tražio i dobijao pisanu potvrdu da su stariji podaci o porudžbinama obrisani u skladu sa ugovorom i politikom čuvanja podataka. Ipak, naknadno je utvrđeno da su ti podaci i dalje postojali u sistemima ShipMonk-a.

Koga pogađa?

Novootkriveni deo incidenta pogađa približno 67.000 kupaca iz SAD koji su Trezor proizvode naručivali između novembra 2019. i avgusta 2021. godine.

Izloženi podaci uključuju imena i prezimena, email adrese, brojeve telefona, adrese za isporuku i brojeve porudžbina.

Trezor naglašava da njegovi sistemi i hardverski novčanici nisu kompromitovani. Nema naznaka da su izloženi privatni ključevi, recovery seed fraze, lozinke novčanika ili podaci o stanju kripto-imovine.

Ipak, kombinacija kontakt podataka i informacije da je osoba kupila hardverski kripto novčanik može omogućiti veoma ciljane phishing napade, lažno predstavljanje, prevare putem telefona ili pošte, kao i potencijalne rizike po fizičku bezbednost korisnika.

Kako se zaštititi?

  • Ako ste pogođeni incidentom, očekujte direktno obaveštenje od kompanije Trezor.
  • Budite posebno oprezni prema email porukama, telefonskim pozivima, SMS porukama i pismima koja se predstavljaju kao komunikacija kompanije Trezor.
  • Nikada ne unosite recovery seed frazu na veb-sajtu i ne saopštavajte je osobi koja vas kontaktira telefonom, emailom ili putem poruke.
  • Ne verujte poruci samo zato što pošiljalac zna vaše ime, adresu ili podatke o porudžbini – upravo ti podaci mogu biti deo kompromitovane baze.
  • Proveravajte informacije direktno preko zvaničnog Trezor sajta, a ne preko linkova iz neočekivanih poruka.
  • Omogućite višefaktorsku autentifikaciju na email nalogu i kripto berzama koje koristite.
  • Ako je izložena vaša trenutna kućna adresa, budite oprezni i prema neočekivanim pošiljkama ili osobama koje tvrde da predstavljaju Trezor ili neku drugu kripto kompaniju.

Tehnički detalji

Incident kod ShipMonk-a povezan je sa ranjivošću u Metabase platformi za analitiku podataka. Napadači su iskorišćavali ranjivost označenu kao CVE-2026-72898, kritični SQL injection propust sa maksimalnim CVSS rezultatom 10.0.

Ranjivost je omogućavala udaljenom napadaču bez autentifikacije da manipulacijom funkcije za resetovanje lozinke izvrši SQL injection, kreira administratorsku sesiju i pristupi podacima dostupnim kroz kompromitovanu Metabase instancu.

Metabase je potvrdio da je ranjivost aktivno iskorišćavana kao zero-day pre nego što je zakrpa objavljena 6. avgusta 2026. godine. Ranjivost je kasnije dobila oznaku CVE-2026-72898 i uvrštena je među aktivno eksploatisane ranjivosti.

ShipMonk je bio među organizacijama čiji su sistemi pogođeni ovom kampanjom. Kompanija je takođe primila poruke za iznudu povezane sa grupom ShinyHunters, ali dostupne informacije ne potvrđuju definitivno ko je izvršio prvobitni napad.

Zašto je važno za region?

Incident pokazuje da bezbednost podataka ne zavisi samo od kompanije kojoj ih korisnik direktno poverava. Logistički partneri, cloud servisi, analitičke platforme i drugi dobavljači mogu čuvati kopije istih podataka i postati ulazna tačka za napadače.

Posebno je značajan problem zadržavanja podataka. U ovom slučaju, Trezor navodi da je dobio potvrdu da su stari podaci obrisani, ali se kasnije ispostavilo da su i dalje postojali kod dobavljača. Za organizacije u Srbiji i regionu ovo je dobar primer zašto ugovorna obaveza brisanja podataka nije dovoljna bez odgovarajuće kontrole i provere dobavljača.

Preporuka Sajber Radara

Ako ste dobili obaveštenje kompanije Trezor da ste pogođeni incidentom, budite posebno oprezni prema ciljanim phishing porukama, telefonskim pozivima i pismima. Napadači mogu koristiti vaše ime, adresu i podatke o kupovini kako bi komunikacija izgledala potpuno legitimno.

Nikada ne delite recovery seed frazu, privatni ključ ili PIN novčanika i ne unosite ih na stranici do koje ste došli preko neočekivane poruke. Sve informacije o incidentu proveravajte direktno preko zvaničnih Trezor kanala.