「詐欺的な手紙」— 53,487人の所有者の情報が露呈、TrezorとSafePalが警告

「詐欺師は漏洩した情報を使用して、偽のメールの送信、偽の電話、詐欺的な手紙の送付、あるいは銀行、暗号資産取引所、さらにはTrezorになりすます可能性があります」と、このハードウェアウォレットメーカーは8月13日、配送プロバイダーの1社で発生したデータ侵害を公表し、顧客に警告しました。

「本日、SafePalから39,798人のユーザー情報が漏洩しました。秘密鍵ではなく、氏名、メールアドレス、住所です」と、@dealerdefiとして投稿しているアナリストが3日後、Xに書き込みました。「あなたの鍵が弱点なのではなく、あなた自身が弱点なのです」

「明確にしておきますが、当社のシステムは侵害されておらず、お客様のTrezorデバイスは安全です」とTrezorは述べ、住所が漏洩した11,742人の顧客と、一部影響を受けた1,947人を公表しました。

「お伝えしにくいニュースがあります」と同社は同日Xに投稿し、影響を受けた7カ国と、5月10日から8月8日の間に行われた注文を挙げました。

ShipMonkも「ShinyHuntersという恐喝集団から恐喝メールを受け取っています」とBleepingComputerが報じ、この侵入はMetabaseの致命的なSQLインジェクションのゼロデイ脆弱性が原因であると突き止めました。

「当時は孤立した事例」

SafePalは8月16日に自社のデータ侵害を公表し、5月初旬に最初の報告を受けたものの「当時は孤立した事例として扱った」とし、本格的な調査を開始したのは7月になってからだったと述べました。

注文追跡プラグインの認可の欠陥により、Binanceが支援するウォレットメーカーの顧客約39,798人の情報が露呈し、4日間で2件の公表を合わせて53,487人のウォレット購入者の情報が流出しました。「この事件自体がSafePalウォレットや資金へのアクセスを侵害したという証拠は見つかっていない」とSafePalは述べました。

攻撃者は費用対効果を計算する

「攻撃者がどのような存在か考えてみてください。彼らは組織です。独自のKPIを持ち、目標を持ち、オフィスに行き、戦略を立て、これはプロジェクトだと考え、ROIを計算します」と、鍵管理会社Sodotの創設者であるIdo Sofer氏はポッドキャスト『On The Margin』で語りました。

「もし私が十分な制約やセキュリティのガードレール、多層防御を導入すれば、コストは隣人や他社よりも高くなります」とSofer氏は言います。「そうなれば、おそらく彼らは（他社に）向かうでしょう。そちらの方がROIが低いからです」

氏名と配送先のリストの漏洩は、その計算を逆の方向に動かします。「住宅侵入は2026年の事件の37%を占めています」とChainalysisは8月6日のレポートに記しており、これは2023年の26%から上昇しています。6月下旬までに46件の暴力的な暗号資産関連事件が数えられており、この傾向は今年の最大規模の暗号資産窃盗事件にも共通しています。