Vineri, 4 septembrie, producătorul ceh de portofele hardware Trezor a publicat pe blogul propriu o actualizare scurtă, de câteva paragrafe. Atât a fost nevoie ca un incident despre care compania spusese, cu trei săptămâni înainte, că fusese delimitat, să își dubleze proporțiile. Încă aproximativ 67.000 de clienți din Statele Unite figurează în datele furate de la ShipMonk, firma care se ocupa de expedierea coletelor. Numărul total al persoanelor afectate trece acum de 80.000.
Compania și-a cerut scuze fără ocolișuri, ceea ce nu se întâmplă des în astfel de situații, și a anunțat că grăbește introducerea livrării anonime. Cifra rămâne totuși partea mai puțin interesantă a poveștii. Explicația din spatele ei spune mult mai mult.
Cum a ajuns un incident de 13.689 de persoane la peste 80.000?
Pe 6 august a fost făcută publică o vulnerabilitate critică de tip SQL injection în Metabase, un instrument de analiză pe care mii de companii îl folosesc pentru rapoartele interne.
Defectul, catalogat CVE-2026-72898 și punctat cu maximum pe scala CVSS, permitea unui atacator neautentificat să extragă credențialele bazelor de date conectate. Cine găsea o instanță expusă în internet ajungea, în câțiva pași, la tot ce alimenta acele rapoarte.
Patru zile mai târziu, ShipMonk a anunțat Trezor că i-au fost accesate sistemele. Prima evaluare vorbea despre 13.689 de clienți, dintre care 11.742 cu numele complet, adresa de livrare și datele de contact expuse. Comenzile veneau din șapte țări, cele mai multe din Statele Unite și Marea Britanie, iar România nu apărea pe listă.
Trezor a explicat atunci că paguba ar fi putut fi mult mai mare, dar că partenerii săi ștergeau datele la 90 de zile după livrare. Argumentul avea logică. Dacă informațiile despre comenzi dispar la trei luni, o spargere prinde un sertar, nu toată arhiva.
Pe 2 septembrie, ShipMonk a revenit cu o informație care demonta explicația. Setul furat conținea și comenzi din perioada noiembrie 2019, august 2021, rămase dintr-o colaborare mai veche între cele două companii. Datele acelea nu ar fi trebuit să mai existe de ani buni. Existau, iar de data asta expunerea era completă, până la numărul comenzii.
Reconstituirea cazului, de la vulnerabilitatea din Metabase până la confirmările scrise care nu corespundeau realității din serverele partenerului, îi aparține lui Mihai Popa, analist și jurnalist la Cryptology.ro, sursă de știri și analize crypto în limba română care urmărește de luni bune incidentele apărute la furnizorii de logistică ai producătorilor de portofele.
Politica de ștergere care a rămas doar în contract
Miezul poveștii nu ține de criptomonede. Ține de ce se întâmplă atunci când o firmă îi încredințează alteia datele clienților săi și apoi presupune că totul merge conform înțelegerii.
Formal, Trezor a făcut ce trebuia. A pus în contract o clauză de retenție limitată, a cerut periodic dovada că informațiile vechi fuseseră distruse și a primit acea dovadă în scris, de mai multe ori, pe toată durata colaborării. Ce nu a făcut a fost să verifice independent dacă hârtia corespundea realității din serverele partenerului. Compania spune acum că pregătește un audit al furnizorului și că este prea devreme pentru a decide ce măsuri va lua față de ShipMonk.
ShipMonk, la rândul său, nu a recunoscut public incidentul. Ar fi primit emailuri de extorcare atribuite grupării ShinyHunters, specializată în atacuri asupra platformelor SaaS și asociată și cu breșa de la Vercel, unde atacatorii au cerut o răscumpărare de două milioane de dolari, deși atribuirea nu a fost confirmată independent.
Ce ar fi trebuit să însemne retenția de 90 de zile?
O politică de trei luni este, în esență, o promisiune. După ce curierul a sunat la ușă și a trecut perioada de retur, dispari din baza de date operațională a furnizorului. Aplicată corect, măsura transformă o spargere majoră într-una minoră.
Aplicată doar pe hârtie, face exact pe dos. Compania își subestimează expunerea, fiindcă se raportează la trei luni de comenzi când în realitate are șapte ani. Iar clientul își imaginează că urma lui digitală s-a evaporat demult. Cine a comandat un Trezor în noiembrie 2019 avea toate motivele să creadă asta. Datele lui erau intacte șase ani și jumătate mai târziu.
Cum arată atacul care vine după o asemenea listă
O parolă pierdută se schimbă într-un minut, iar un card compromis se blochează într-un telefon. Numele, numărul de telefon și adresa la care locuiești nu funcționează așa. Oamenii păstrează același număr zece sau cincisprezece ani și se mută rar.
Mai e ceva. Lista nu conține abonați la o revistă de grădinărit, ci oameni despre care se știe sigur că au cumpărat un dispozitiv folosit exclusiv pentru păstrarea criptomonedelor. Nimeni nu comandă un portofel hardware din curiozitate decorativă. Portofelele rămân sigure, cheile private nu părăsesc niciodată dispozitivul, iar sistemele Trezor nu au fost atinse. Riscul nu e tehnic, e uman. Nimeni nu atacă cipul securizat, ci persoana care îl ține în sertar.
Scrisoarea tipărită și codul QR din cutia poștală
În februarie, posesori de portofele Trezor și Ledger au primit acasă scrisori pe hârtie, tipărite impecabil, cu holograme, coduri QR și semnături falsificate ale unor directori. Textul anunța o verificare de securitate obligatorie, iar codul ducea către o pagină care imita site-ul oficial și cerea cele 24 de cuvinte de recuperare. Cine le introduce pierde tot, ireversibil.
Pentru un cititor din România, mecanismul nu are nimic exotic. Este aceeași logică din spatele SMS-urilor despre coletul oprit în vamă care cer trei lei taxă de deblocare. Diferența ține de calitatea informației din spate. Un mesaj trimis în masă se recunoaște ușor, fiindcă nu știe nimic despre destinatar. O scrisoare care îți scrie corect numele, adresa completă cu tot cu numărul apartamentului și un număr real de comandă din 2020 nu mai declanșează aceleași alarme. Pare corespondență legitimă fiindcă are toate atributele exterioare ale corespondenței legitime.
Apelul telefonic care începe cu datele tale corecte
Varianta prin telefon adaugă presiunea timpului. Acțiunea colectivă depusă împotriva Ledger la tribunalul federal din sudul New Yorkului conține un exemplu care merită povestit în detaliu. Douglas Kim, client din 2017, a primit în februarie 2025 un apel de la cineva care s-a prezentat drept reprezentant al unui departament intern de recuperare. I s-a spus că o persoană din Olanda încercase să îi înroleze contul într-un serviciu de recuperare, ceea ce sună alarmant și, mai important, sună specific.
A fost îndrumat către un site care imita pagina oficială și i s-a cerut fraza de recuperare. Două zile mai târziu constata că îi lipseau criptomonede în valoare de 1.948.074 de dolari. Nu a recuperat nimic.
Adaptat la realitatea locală, apelul ar veni de la un număr cu prefix românesc, iar vocea ar începe prin a confirma date pe care doar magazinul le-ar putea ști. Este metoda falșilor angajați de bancă, cu o singură diferență importantă. În loc de contul curent, ținta e un portofel din care nicio instituție nu poate face storno.
Regula care ține în picioare tot edificiul nu are excepții. Cele 24 de cuvinte nu se introduc nicăieri în afara dispozitivului propriu, nu se fotografiază și nu se dictează la telefon, indiferent cine le cere și cât de urgent pare motivul.
Veriga slabă a fost un instrument de raportare, nu portofelul
Atacatorii nu au atins în niciun moment infrastructura Trezor. Nu au spart firmware și nu s-au apropiat de linia de producție. Au găsit o instanță Metabase lăsată expusă în internet, adică un instrument banal pe care echipele îl deschid ca să vadă câte colete au plecat săptămâna trecută, iar prin ea au ajuns la baza de date cu comenzi. Aceeași vulnerabilitate a lovit, în același val, companii fără nicio legătură cu criptomonedele, între care producătorul de laptopuri Framework.
Cu câteva săptămâni înainte, Valve își anunțase clienții europeni că datele lor de livrare fuseseră furate printr-o spargere la CEVA Logistics. Tiparul se repetă cu o regularitate care ar trebui să pună pe gânduri.
Genul acesta de analiză, în care un incident tehnic este citit prin prisma consecințelor pentru cumpărătorul obișnuit, este marca redacției Cryptology.ro, unde Mihai Popa scrie constant despre atacuri on-chain, breșe de securitate și reglementare europeană. Aceeași publicație a documentat și virusul TrapDoor, care fură portofele cripto din calculatoarele programatorilor, un caz construit pe același principiu, atacarea a ceea ce se află în jurul portofelului.
Pentru un magazin online din România, lecția se traduce fără efort. Datele clienților nu stau doar în platforma proprie, cea bine păzită. Ele ajung la curier, la firma care emite facturile, în platforma de newsletter și în vreun raport pe care cineva l-a construit acum trei ani și l-a lăsat accesibil pe un subdomeniu uitat. Veriga slabă e aproape întotdeauna cea de care nimeni nu își mai amintește.
Livrarea anonimă și ce poate face un cumpărător din România până atunci
Măsura anunțată de Trezor atacă problema la rădăcină. Dacă firma de livrări nu primește niciodată numele real al cumpărătorului, o spargere la acel furnizor nu mai produce o listă de posesori de cripto. Implementarea rămâne însă complicată, fiindcă un curier are nevoie de un destinatar care poate fi identificat la predare. Soluțiile posibile trec prin puncte de ridicare și prin coduri care înlocuiesc identitatea, fiecare cu un cost operațional propriu și cu efect asupra ratei de livrare reușită.
În România, infrastructura pentru așa ceva funcționează deja. Rețelele de lockere sunt folosite masiv, iar ridicarea pe bază de cod a devenit un obicei, așa că un cumpărător atent obține singur o parte din beneficiu. Comandă la un punct de ridicare în loc de adresa de acasă și folosește o adresă de email dedicată acestui tip de achiziții. Nu rezolvă problema numelui real, dar scoate din ecuație informația cea mai sensibilă, adică unde locuiește efectiv.
Cine se întreabă dacă e afectat are un criteriu clar. Trezor a notificat prin email direct toate persoanele din setul de date, de la adresa oficială a companiei, iar cine nu a primit un asemenea mesaj nu se află în listă. Cine a primit unul ar trebui, paradoxal, să fie și mai atent în perioada următoare, fiindcă tocmai după o notificare oficială apar valurile de emailuri false care o imită.
Merită schimbată parola contului folosit la comandă și activată autentificarea în doi pași printr-o aplicație, nu prin SMS, fiindcă numărul de telefon este chiar informația care a ieșit din baza de date.
Ce rămâne nelămurit după anunțul de vineri?
ShipMonk nu s-a exprimat public, așa că nu știm câte alte companii care lucrau cu acest furnizor se află în aceeași situație și nici dacă și ele au primit confirmări de ștergere neonorate. Auditul anunțat de Trezor va spune dacă a fost o eroare izolată de inventariere sau o practică.
Procesul de la New York, chiar dacă îl vizează pe concurentul francez, va stabili un reper pentru toată industria, fiindcă atinge exact zona în care producătorii de hardware s-au simțit până acum protejați, adică distanța dintre a pierde date de contact și a fi responsabil pentru fondurile furate ulterior prin înșelăciune.
În Uniunea Europeană, Regulamentul general privind protecția datelor obligă operatorul să anunțe autoritatea de supraveghere în 72 de ore și îl menține responsabil pentru ce fac procesatorii cu care lucrează. În România, plângerile se depun la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Cazul de față arată de ce partea despre răspunderea față de subcontractanți nu e o formalitate birocratică. O clauză contractuală și o confirmare scrisă nu au împiedicat păstrarea unor date aproape șapte ani peste termenul asumat.
Pentru cumpărător, ideea practică e mai simplă decât toate acestea. Un portofel hardware protejează cheile, nu identitatea. Cine cumpără unul își asumă, în forma actuală a comerțului online, că numele și adresa lui ajung în cel puțin trei sisteme informatice diferite, dintre care doar unul aparține producătorului.
