اختراق بيانات Trezor يفضح 67,000 عميل إضافي لمحافظ بيتكوين (BTC)

تريزور تعلن عن 67,000 سجل إضافي مكشوف

أعلنت شركة Trezor، المصنّعة لمحافظ الأجهزة التي تُخزَّن فيها عملة بيتكوين (BTC) وأصول أخرى في محفظة باردة بعيدًا عن الإنترنت، أنها كشفت يوم الجمعة عن اختراق لدى شريكها في الشحن كشف البيانات الشخصية لنحو 67,000 عميل أمريكي إضافي، وهو ما يدفع الحجم الإجمالي للحادثة فوق حاجز 80,000 سجل. وتغطي السجلات المكتشفة حديثًا الطلبات المقدمة بين نوفمبر 2019 وأغسطس 2021، وتشمل الأسماء الكاملة وعناوين الشحن وأرقام الهواتف والبريد الإلكتروني وأرقام الطلبات. فقد أبلغت ShipMonk، شركة التنفيذ اللوجستي التي تقع في مركز الحادثة، شركة Trezor في الثاني من سبتمبر بأن الاختراق أكبر بكثير مما ورد في التقرير الأصلي. أما الإفصاح الأول، الذي نُشر في 13 أغسطس، فقد حصى 13,689 عميلًا، من بينهم 11,742 توفّرت بيانات الاتصال الكاملة لديهم، وذلك على طلبات تمت بين مايو وأغسطس من هذا العام. ولم تنشر الشركة رقمًا مجمّعًا موحدًا، لكن الإفصاحين معًا يضعان نطاق الانكشاف المحتمل فوق علامة 80,000 سجل. وما يجعل هذا التوسع غير مسبوق، بحسب Trezor، أن السجلات القديمة كان يُفترض ألا تكون موجودة أصلًا: إذ تقول الشركة إنها طلبت مرارًا تأكيدات مكتوبة بحذف البيانات وحصلت عليها فعلًا. وقد شددت Trezor على أن أنظمتها الخاصة لم تتعرض للاختراق، وأن المفاتيح الخاصة والنسخ الاحتياطية للمحافظ لم تمسّ. أما المخاطر التي حددتها الشركة فهي انتحال الهوية والسلامة البدنية، بما أن عناوين المنازل من ضمن الحقول المكشوفة — إذ يمكن للمحتالين انتحال صفة بنوك أو منصة تداول عملات رقمية أو حتى Trezor نفسها في حملات تصيّد موجهة. وقالت الشركة إن هذه هي المرة الأولى منذ تأسيسها عام 2013 التي ينكشف فيها أرقام هواتف العملاء وعناوين شحنهم في اختراق، على الرغم من أن حادثة مكتب الدعم في يناير 2024 عرضت نحو 66,000 مستخدم لخطر التصيّد.

ضمانات الحذف لم تُنفَّذ قط

عندما أعلنت Trezor عن التسريب لأول مرة الشهر الماضي، أشارت إلى سياسة احتفاظ بالبيانات مدتها 90 يومًا كان يُفترض أن يلتزم بها شركاؤها، معتبرة أن بيانات المستخدمين القديمة حُذفت والأضرار محدودة. غير أن الشركة تقول الآن إن تلك السياسة لم تُطبَّق فعليًا قط — فالبيانات لم تُحذف أبدًا من أنظمة ShipMonk. وفي منشور على حسابها الرسمي على X، اعتذرت Trezor للعملاء المتأثرين، معربةً عن "أسفها الشديد" وتأكيدا أنها تتعامل مع الأمر بكل جدية. وتدّعي الشركة أنه طوال علاقتها الكاملة مع ShipMonk تلقت مرارًا تأكيدات مكتوبة تؤكد الحذف، بما يتماشى مع عقدها وسياسة البيانات، ومن ثم لم يكن لديها "أي سبب لتوقع" المزيد من التسريبات. وقد نبّهت ShipMonk شركة Trezor أول مرة إلى الحادثة في 10 أغسطس، واصفةً تسريبًا يغطي أحدث 90 يومًا من الطلبات؛ ثم وسّعت في 2 سبتمبر النطاق ليشمل 2019–2021. وقالت Trezor إن فهمها أن تعاون تلك السنوات المبكرة طُوي عن النظر عند تحديد النطاق الأصلي. وتضيف الشركة أنها ما يزال من المبكر حسم طريقة استجابتها لأفعال ShipMonk، لكنها ترتيب تدقيق إضافي للشريك اللوجستي. كما تعمل على إطلاق خيار التوصيل المجهول للطلبات ليتمكن المشترون من حماية معلوماتهم الشخصية على نحو أفضل. ومن الجدير بالملاحظة أن Trezor لم تبلغ وسائل الإعلام بشكل استباقي هذه المرة، معللةً ذلك بأن أولويتها الوصول إلى الأشخاص المتأثرين فعلًا. وتجسّد هذه الواقعة مشكلة مخاطر المورّدين التي تمتد إلى ما هو أبعد من قطاع العملات الرقمية — فقد أظهر انقطاع CrowdStrike عام 2024 كيف يمكن لفشل مورد واحد أن يطال ملايين نقاط النهاية — وقد يدفع المستخدمين المهتمين بالخصوصية نحو أدوات مثل طبقات الخصوصية ذات المعرفة الصفرية أو الشحن المجهول. يمكن للقراء الراغبين في متابعة السوق لحظيًا الاطلاع على أسعار السبوت والعقود الآجلة مباشرة عبر Gate.

اعتذرت Trezorhttps://x.com/Trezor/status/2095807665603584085?s=20

الوثيقة المحورية هنا هي إفصاح Trezor نفسها، الذي يذكر صراحة أن الشركة تلقت تأكيدات حذف متكررة لم تعكس الواقع. وقراءتنا لهذا الملف: نحن أمام إخفاق في حوكمة بيانات سلسلة التوريد، لا إخفاقًا تشفيريًا — فلم يُمسّ أي مفتاح خاص، وتبقى محفظة الأجهزة الوسيلة الأكثر أمانًا للاحتفاظ ببيتكوين (BTC). غير أن العناوين وأرقام الهواتف المتسربة هي بالضبط المادة الخام لحملات تصيّد مقنعة. والاختبار الآن هو التنفيذ: فالتدقيق الموعود لـShipMonk وإطلاق التوصيل المجهول سيكشفان ما إذا كانت Trezor تتعامل مع الإشراف على المورّدين بوصفه وظيفة أمنية لا تفصيلًا لوجستيًا. أما المستخدمون المتأثرون فيجب ألا يدخلوا نسخة احتياطية للمحفظة في أي موقع إلكتروني ولا يشاركوها مع أي جهة.