درجة ثقة المجتمعموثّق
تواجه شركة تريزور مشكلة كبيرة. الشركة التي تتخذ من براغ مقراً لها، والمعروفة بمحافظها للأجهزة المشفرة، اعترفت للتو بأن خرق البيانات الذي أُعلن عنه هذا الصيف أوسع بكثير مما أُبلغ عنه في البداية — حيث تعرضت بيانات 67,000 عميل أمريكي إضافي لأسمائهم، وعناوين بريدهم الإلكتروني، وأرقام هواتفهم، وعناوين الشحن، وأرقام الطلبات.
البيانات المعنية تأتي من الطلبات التي تم تقديمها بين نوفمبر 2019 وأغسطس 2021. ليست طلبات حديثة. بيانات كان من المفترض، وفقاً لتريزور، أن يتم تدميرها منذ زمن طويل. شريك اللوجستيات ShipMonk قدم تأكيدات خطية — وفقاً للعقد، حسب تريزور — بأنه سيمحو هذه المعلومات. لكنه لم يفعل. وهنا حدث الخطأ.
في أغسطس، أبلغت تريزور عن خرق أولي أثر على 11,742 عميلاً من عدة دول، بما في ذلك الولايات المتحدة والمملكة المتحدة والبرازيل. كان يُعتقد أنه محدود. ليس تماماً. الإعلان الجديد يضاعف النطاق تقريباً بستة أضعاف، مما يزيد بشكل كبير من المخاطر على العملاء المتضررين.
ShipMonk في قلب المشكلة
الشراكة مع ShipMonk — التي تتولى معالجة الطلبات لتريزور — هي المسؤولة مباشرة. تدعي تريزور أنها تلقت ضمانات مكتوبة بحذف البيانات. ShipMonk لم تحذف. انتهى. أطلقت الشركة الأم لتريزور، SatoshiLabs، تحقيقاً في الحادث، لكن لم يتم مشاركة أي استنتاجات علنية بعد.
لا تريزور ولا ShipMonk قد استجابتا للأسئلة حول الوضع. لا بيان مشترك، ولا تفسير من ShipMonk عن سبب بقاء البيانات. غموض تام من مشغل اللوجستيات.
وهناك رقم آخر يكاد يمر دون ملاحظة: 1,947 عميلاً تعرضت أيضاً أسماؤهم ومدنهم وعناوين بريدهم الإلكتروني للاختراق. مجموعة منفصلة، ربما بتعرض محدود أكثر، لكنها متضررة على أي حال.
تقول تريزور إنها تتواصل مباشرة مع جميع العملاء المعنيين. هذا هو الحد الأدنى. لكنه لا يعالج السؤال المركزي: كيف لا تزال البيانات التي كان من المفترض أن تُحذف وفقاً للعقد متاحة بعد سنوات؟
سابقة Ledger وتأثيرها على الثقة
الحادث يذكر بما حدث مع Ledger في عام 2020. تعرضت المنافس المباشر لتريزور لخرق عبر Global-e، شريك الدفع. تلقى عملاء Ledger رسائل بريد إلكتروني تُخطرهم بالخرق — ولعدة أشهر بعد ذلك، أفاد بعضهم بمحاولات تصيد مستهدفة وتهديدات واحتيالات شخصية باستخدام عناوينهم الفيزيائية. خروقات البيانات في قطاع الأجهزة المشفرة ليست مجرد سطر في تقرير GDPR. إنها خطر مادي لأن الناس يعرفون أنك ربما تمتلك أصولاً رقمية.
تريزور تعرف هذا. ومن هنا تأتي الحاجة الملحة للاتصال بـ67,000 عميل مباشرة بدلاً من ترك المعلومات تتسرب عبر وسائل الإعلام.
المشكلة مع التسريبات المتعلقة بالمقاولين الفرعيين هي أن الشركة المصنعة تفقد السيطرة بمجرد مغادرة البيانات لبنيتها التحتية. ShipMonk تتولى اللوجستيات — ليست العملات المشفرة، ولا أمان المحافظ. لكنها تعالج بيانات حساسة للعملاء من شركة يعتبر مشتروها، بحكم التعريف، حاملي أصول رقمية. إنها هدف رئيسي.
تواصل SatoshiLabs تحقيقها. لم يتم الإعلان عن جدول زمني، ولا تفاصيل حول ما يعنيه هذا بشكل ملموس للشراكة مع ShipMonk. هل ستقطع تريزور العلاقات؟ ربما قيد النظر. غير واضح بعد.
ما هو واضح: سلسلة المسؤولية بين الشركة المصنعة للأجهزة وشركائها في اللوجستيات الخارجية هي نقطة عمياء كبيرة في الصناعة. تريزور ليست الأولى التي تعاني من هذا. وربما لن تكون الأخيرة أيضاً.
العملاء المتضررون — الـ67,000 بالإضافة إلى الـ11,742 الذين أُعلن عنهم في أغسطس — يجب أن يتوقعوا تلقي اتصال مباشر من تريزور. تقول الشركة إنها فعلت ذلك أو في طور القيام بذلك. ما يفعلونه بهذه المعلومات بعد ذلك هو اختيارهم. لكن تغيير عناوين البريد الإلكتروني، وتفعيل المصادقة الثنائية في كل مكان، والبقاء يقظين ضد محاولات التصيد المستهدفة — هذا هو الحد الأدنى في مثل هذا الوضع.
لم تقل SatoshiLabs متى سينتهي التحقيق. لم تشرح ShipMonk سبب عدم حذف البيانات. و67,000 شخص ينتظرون إجابات لا يبدو أن أحداً في عجلة من أمره لتقديمها.
الأسئلة الشائعة
كم عدد عملاء تريزور الذين تأثروا بهذا الخرق البياني؟
في المجموع، تأثر 67,000 عميل أمريكي إضافي، بالإضافة إلى 11,742 عميلاً تم الإعلان عنهم خلال الكشف الأولي في أغسطس. بالإضافة إلى ذلك، تعرضت أسماء ومدن وعناوين بريد إلكتروني لـ1,947 عميل للاختراق بشكل منفصل.
ما هي الفترة التي تغطيها البيانات المكشوفة في خرق تريزور؟
البيانات تأتي من الطلبات التي تم تقديمها بين نوفمبر 2019 وأغسطس 2021، وتشمل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن وأرقام الطلبات.
لماذا تعتبر ShipMonk في مركز حادثة تريزور؟
قدمت ShipMonk، شريك اللوجستيات لتريزور، تأكيدات خطية بأنها ستحذف بيانات العملاء وفقاً لعقدهم. لم تفعل ذلك، مما أدى إلى كشف معلومات عشرات الآلاف من العملاء.
