Що сталося
13 серпня 2026 року Trezor повідомив, що персональні дані 13 689 його покупців опинилися в чужих руках. Зламали при цьому не Trezor, а ShipMonk — підрядника, який пакує й розсилає замовлення компанії. Про несанкціонований доступ до своїх систем ShipMonk сповістив Trezor 10 серпня 2026 року; саме проникнення сталося 6 серпня. Під удар потрапили замовлення, оформлені з 10 травня по 8 серпня 2026 року.
Деталі
Обсяг витоку компанія розписала за двома групами:Група Скільки людей Що витекло Повні дані 11 742 Ім’я, e-mail, телефон, адреса доставки Часткові дані 1 947 Ім’я, місто, e-mail
Географія посилок — США, Велика Британія, Швеція, Колумбія, Бразилія, Італія та Португалія.
За версією ShipMonk, зловмисники скористалися вразливістю в Metabase — сторонньому сервісі аналітики, який підрядник застосовував у себе.
Trezor окремо наголошує, що його власна інфраструктура не постраждала: «our systems were not compromised, and your Trezor device is secure» — прошивка, пристрої, приватні ключі та резервні копії гаманців не зачеплені.
Що це означає
Заголовки на кшталт «Trezor зламали» неправильні, і це не причіпка до формулювання. Ключі та seed-фрази нікуди не витекли, віддалено спорожнити гаманець за цими даними неможливо. Витекло інше — перелік людей, у яких удома лежить апаратний гаманець, із телефоном і точною адресою.
Кого стосується: лише тих, хто замовляв пристрій безпосередньо у фірмовій крамниці Trezor у вікні з 10 травня по 8 серпня 2026 року. Купівля в реселера або давніше замовлення до вибірки не потрапили.
Ризик і його масштаб: перший — адресний фішинг. У січні 2024 року, після минулого витоку, зловмисники писали клієнтам від імені підтримки й виманювали 24 слова резервної копії; тепер у них до того ж є телефон і адреса, тобто лист виглядатиме значно переконливіше. Другий ризик — фізичний. За даними Chainalysis, за 2025 рік через напади з насильством у власників криптовалюти забрали $58 млн, за першу половину 2026-го — уже $30 млн, а частка нальотів на житло зросла з 26% інцидентів у 2023 році до 37% у 2026-му.
Горизонт: ризик актуальний просто зараз — дані вже в третіх осіб. Trezor обіцяє запустити анонімну доставку з нейтральним пакуванням і автоматичним видаленням даних про отримувача: у ЄС до вересня 2026 року, у США — до кінця року.
Практичний висновок простий: резервну фразу не вводять ніде, крім самого пристрою — усі звичайні операції йдуть через застосунок Trezor Suite, і жодна підтримка цієї фрази не питає. Якщо ви лише обираєте між моделями апаратних гаманців Trezor, під час замовлення варто одразу подумати про пункт видачі замість домашньої адреси.
Контекст
Це другий подібний випадок у компанії за три роки, і обидва рази дірка була не в Trezor, а в підрядника. У січні 2024 року зламали сторонній портал підтримки: тоді витекли імена та пошта до 66 000 людей, які зверталися в підтримку з грудня 2021 року.
