درجة ثقة المجتمعموثّق
قام مزود شحن خارجي بتسريب بيانات شخصية تخص 13,689 من عملاء محفظة تريزور للأجهزة. الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين التوصيل — كلها أصبحت مكشوفة. أنظمة تريزور نفسها لم تتأثر.
لم يأتِ الاختراق من خوادم تريزور أو أجهزتها. بل جاء من شركة لوجستية تستخدمها الشركة المصنعة لمحفظة الأجهزة لشحن الطلبات. من بين 13,689 عميلًا متأثرًا، تم كشف التفاصيل الشخصية الكاملة لـ 11,742 منهم — الاسم، البريد الإلكتروني، الهاتف، العنوان الفعلي. أما الباقون وعددهم 1,947 فقد تم تسريب الاسم والبريد الإلكتروني فقط. العملاء منتشرون في الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال. جميع الطلبات المتضررة تقع ضمن فترة 90 يومًا قبل 8 أغسطس. سارعت تريزور إلى التأكيد على الأمر الأهم لحاملي العملات الرقمية: المحافظ لم تتعرض للاختراق. المفاتيح الخاصة آمنة. لم تكن عبارات الاسترداد جزءًا من التسريب. لن يخسر أحد عملة بيتكوين (BTC) بسبب هذا الاختراق — على الأقل ليس بشكل مباشر.
لكن “ليس بشكل مباشر” هو تعبير يحمل الكثير من المعاني هنا.
لماذا تُعد العناوين المكشوفة خطيرة
لا تحتاج العملات الرقمية إلى أن تُسرق من محفظة لتسبب ضررًا. يمكن للمحتالين الذين يحصلون على اسم العميل ورقم هاتفه وعنوان منزله أن يبنوا هجوم تصيد احتيالي مقنع بسرعة. هم يعرفون أنك تملك محفظة تريزور. يعرفون أين تعيش. يمكنهم إرسال بريد إلكتروني يبدو حقيقيًا، أو رسالة نصية تبدو عاجلة، أو حتى الظهور شخصيًا. هذا هو الخطر الحقيقي هنا — ليس اختراقًا مباشرًا، بل الهندسة الاجتماعية التي تتبع تسريبًا كهذا.
لقد شهدت تريزور ذلك من قبل. حذرت الشركة سابقًا قاعدة مستخدميها من رسائل البريد الإلكتروني الاحتيالية التي تستهدف عملاء محفظة الأجهزة. إنه نمط متكرر في مجال محافظ الأجهزة. واجهت ليدجر كابوسًا مشابهًا بعد تسريب قاعدة بيانات عملائها الخاصة قبل سنوات، وكانت حملات التصيد الاحتيالي التي تلتها بلا هوادة. تعامل مستخدمو Trust Wallet مع تهديدات مماثلة. النمط متسق: سرقة قائمة العملاء، ثم البدء في التصيد.
تجري تريزور حاليًا تحقيقًا بالتعاون مع المزود اللوجستي. يتم الاتصال بالعملاء المتأثرين مباشرة. كررت الشركة قاعدة واحدة تعتبرها غير قابلة للتفاوض — تريزور لا تطلب أبدًا من العميل تقديم نسخة احتياطية من المحفظة أو عبارة الاسترداد. إذا تلقى أي شخص رسالة تدعي خلاف ذلك، فهي عملية احتيال. نقطة على السطر.
ميزة التوصيل المجهول قيد التطوير
تعمل تريزور على شيء يسمى “التوصيل المجهول”. الفكرة هي تقليل كمية المعلومات الشخصية التي يتم جمعها ومشاركتها أثناء عملية الشحن. كلما قلت نقاط البيانات التي تُسلم إلى الأطراف الثالثة، قلت نقاط البيانات التي يمكن أن تتسرب. التفاصيل حول الميزة لا تزال نادرة — لا يوجد تاريخ إطلاق، ولا تفاصيل حول كيفية عملها بالضبط — لكن الاتجاه واضح بما فيه الكفاية.
إنه رد فعل واضح لما حدث للتو. إذا كان بإمكان شريك لوجستي أن يكشف عن 13,689 عميلًا لأنهم كانوا يحتفظون بتلك البيانات، فإن الحل هو التوقف عن إعطاء الشركاء اللوجستيين تلك البيانات في المقام الأول. أو على الأقل بأقل قدر ممكن. ما إذا كانت تريزور يمكنها تحقيق ذلك مع الاستمرار في توصيل الأجهزة إلى أبواب الناس هو السؤال الحقيقي. لم يتضح بعد.
النقطة الأوسع يصعب الجدال معها. تنفق شركات محفظة الأجهزة طاقة هائلة في تأمين الأجهزة نفسها — الرقائق، البرامج الثابتة، البنية التشفيرية. ثم يتم اختراق شركة شحن وفجأة يتم كشف آلاف العملاء على أي حال. الأمان قوي فقط بقدر أضعف حلقة في السلسلة، والسلسلة تمتد إلى ما هو أبعد من الجهاز في الصندوق.
قالت تريزور إنها تراجع شراكاتها وعملياتها اللوجستية. تريد الشركة سياسات أكثر صرامة في التعامل مع البيانات مع مقدمي الخدمات الخارجيين. كما تعيد النظر في قواعد الاحتفاظ بالبيانات — بشكل أساسي، المدة التي يُسمح فيها للشركاء بالاحتفاظ بمعلومات العملاء قبل حذفها. ربما سرّع الاختراق من تلك المحادثة.
بالنسبة للعملاء الذين وقعوا في التسريب، النصيحة بسيطة: راقب الرسائل الإلكترونية المشبوهة، لا تنقر على الروابط غير المتوقعة، ولا تشارك عبارة الاسترداد الخاصة بك مع أي شخص بغض النظر عن مدى رسمية الطلب. تعمل هجمات التصيد الاحتيالي لأنها مخصصة. يمكن للمحتالين الذين لديهم اسمك وعنوانك ومعرفة أنك تملك محفظة أجهزة أن يصنعوا شيئًا مقنعًا. الشك هو الدفاع الحقيقي الوحيد الآن.
تعامل تريزور مع الكشف كان شفافًا إلى حد ما — تنبيه العملاء بسرعة، وتحديد ما تم كشفه وما لم يتم، وعدم محاولة إخفاء حقيقة أن المزود الخارجي كان المصدر. هذا ليس بلا قيمة. لدى الشركات في مجال العملات الرقمية سجل متباين في الكشف عن الاختراقات، وبعضها انتظر أسابيع أو شهور قبل إخبار العملاء بأي شيء.
فترة الطلبات التي تمتد لـ 90 يومًا مهمة أيضًا. العملاء الذين اشتروا جهاز تريزور مؤخرًا ربما يكونون في هذه المجموعة. يجب على أي شخص قام بوضع طلب في الأشهر التي سبقت 8 أغسطس التحقق مما إذا كان قد تلقى إشعارًا من تريزور والبقاء يقظًا بغض النظر.
لم تُفقد أموال المحافظ. لم يتم كشف المفاتيح الخاصة. لكن 13,689 شخصًا لديهم الآن عناوين منازلهم موجودة في قاعدة بيانات شخص آخر.
الأسئلة الشائعة
هل تعرضت محافظ تريزور أو المفاتيح الخاصة للاختراق في التسريب؟
لا. أكدت تريزور أن المحافظ والمفاتيح الخاصة وعبارات الاسترداد لم تكن جزءًا من التسريب. فقط بيانات الشحن الشخصية — الأسماء، البريد الإلكتروني، أرقام الهواتف، وعناوين التوصيل — تم كشفها عبر المزود اللوجستي.
ما هي الدول التي تأثر فيها عملاء بتسريب بيانات تريزور؟
العملاء المتأثرون موجودون في الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال، بناءً على الطلبات التي تم وضعها خلال 90 يومًا قبل 8 أغسطس.
