Curenje podataka dostavljača povećava rizik za vlasnike kripto-novčanika
Trezor i SafePal prijavili su da su njihovi partneri za dostavu pretrpeli odvojene provale u kojima su ukradeni lični i podaci o isporuci hiljada kupaca hardverskih kripto-novčanika. Među podacima su imena, kućne adrese, e-pošta i brojevi telefona. Bezbednost samih uređaja nije bila pogođena, ali izloženi podaci otvaraju prostor za napade van interneta i za ciljanu obmanu.
Napad na lanac snabdevanja otkriva fizički rizik
Hardverski novčanik čuva privatne podatke van mreže, pa ga je znatno teže kompromitovati udaljenim napadom. Međutim, dostava uređaja zahteva razmenu podataka kupaca sa logističkim kompanijama. Provale kod tih partnera zato napadačima mogu otkriti gde žive osobe za koje se pretpostavlja da poseduju kriptoimovinu.
Takvi incidenti povećavaju rizik od takozvanih wrench napada, u kojima kriminalci prinudom pokušavaju da dođu do seed fraze vlasnika. Ko raspolaže seed frazom, može nepovratno preuzeti kontrolu nad kriptoimovinom na javnom blokčejnu. CertiK je potvrdio desetine prijavljenih slučajeva tokom 2025, što je rast od 75% u odnosu na prethodnu godinu, uz krađe veće od 40 miliona dolara.
Chainalysis procenjuje da su ovogodišnji gubici za sada bliži iznosu od 30 miliona dolara. U tim slučajevima bande koriste otmice i provale u domove kako bi iznudile seed frazu. Trezor i SafePal su kupcima istovremeno preporučili oprez zbog phishing poruka poslatih na ukradene brojeve telefona i e-adrese.
Odvojeni slučaj sa Coldcard novčanicima
Rizik nije ograničen na podatke iz dostave. U zasebnom napadu ranije ovog meseca, napadači su ukrali više od 130 miliona dolara u kriptoimovini sa Coldcard hardverskih novčanika kompanije Coinkite. Uspeli su da pogode lozinke, odnosno seed fraze koje su uređaji generisali van mreže.
Prema navodima o incidentu, napadači su mogli da predvide seed fraze zbog ranjivosti u jednoj liniji koda iz 2021. godine. Činjenica da novčanik i fraza nisu bili povezani sa internetom nije sprečila krađu, jer su napadači mogli da generišu odgovarajuće podatke i preuzmu sredstva direktno sa blokčejna.
Šta organizacije mogu da izvuku iz slučaja
Ovi događaji pokazuju da bezbednosni model ne prestaje na proizvodu koji je tehnički otporan na udaljeni napad. Podaci o isporuci, dobavljači, podrška korisnicima i kvalitet implementacije uređaja deo su iste površine napada. Za poslovanje, prioritet je procena partnera koji obrađuju podatke kupaca, ograničavanje dostupnih podataka i priprema korisnika za ciljane prevare i fizičke pretnje.