El 13 de agosto, Trezor reveló que una violación de datos en su socio de envío, ShipMonk, expuso la información personal de aproximadamente 13,700 clientes recientes, incluidos nombres, números de teléfono y direcciones de casa.
El fundador de Binance, Changpeng Zhao (CZ), respondió argumentando que el incidente muestra una verdadera ventaja de las billeteras de autocustodia de software, ya que no requieren el envío de un dispositivo físico que vincule la identidad de un comprador a una dirección de casa.
La violación de Trezor pone en foco las direcciones físicas
Trezor reveló el incidente después de que ShipMonk, un proveedor de logística, notificara a la empresa el lunes 10 de agosto sobre el acceso no autorizado a los sistemas que contienen datos de pedidos de clientes.
CZ reaccionó el jueves, argumentando que el incidente destaca un perfil de riesgo diferente para la autocustodia de hardware y software.
“Las billeteras de hardware a menudo se consideran ‘más seguras’ que las billeteras de software”, escribió. “Si bien todavía creo que eso es ‘generalmente cierto’ en algunos aspectos específicos, este incidente refuerza una ventaja de las billeteras de autocustodia de software.”
Señaló ejemplos como Binance Web3 Wallet y Trust Wallet, que no requieren el envío de un dispositivo físico que vincule la identidad y la dirección de un usuario a la propiedad de criptomonedas.
CZ también se detuvo antes de descartar las billeteras de hardware. “No estoy diciendo que las billeteras de hardware sean ‘malas’”, escribió. “Solo perfiles diferentes.” Agregó que YZiLabs es un inversor en muchas empresas de billeteras de hardware.
Contribuyendo al debate, NaoX Protocol dijo que las direcciones expuestas podrían dar a los atacantes una lista de titulares de criptomonedas verificados que valdría la pena atacar en persona. El ejecutivo de seguridad de Bitcoin, Nick Neuman, advirtió de manera similar que los datos podrían llevar a ingeniería social dirigida y potencialmente ataques de fuerza, donde los criminales utilizan amenazas físicas para robar fondos.
Trezor dijo que los clientes podrían enfrentar phishing más sofisticado a través de correos electrónicos, llamadas telefónicas o cartas. Instó a los usuarios a nunca ingresar su respaldo de billetera en línea ni compartirlo con nadie.
Un período difícil para las billeteras de hardware
El momento se suma a una serie de titulares negativos para los fabricantes de billeteras de hardware. A mediados de julio, el investigador en cadena ZachXBT calificó la categoría como inadecuada para un uso serio, escribiendo en Telegram que “todas las billeteras de hardware son basura completa.”
Argumentó que un teléfono de repuesto utilizado solo para firmar transacciones podría funcionar mejor, citando baterías muertas, actualizaciones de firmware forzadas y errores de interfaz como problemas recurrentes. La violación de Trezor es un tipo diferente de falla, ya que implica exposición a través de un proveedor en lugar del dispositivo, pero encaja en la misma conversación sobre costos más allá de la frase semilla.
Además, la semana pasada, Galaxy Research vinculó más de $100 millones en Bitcoin robado a un problema separado en el firmware antiguo de Coldcard, que generaba semillas de billetera con una aleatoriedad más débil de lo previsto. Coinkite ha corregido el fallo en versiones más nuevas, pero no puede arreglar las semillas ya generadas en dispositivos afectados y ha informado a los titulares de sus modelos Mk3 a Q que muevan fondos a hardware no afectado.
Esta no es la primera vez que Trezor se encuentra en una situación así, con una violación separada vinculada a un proveedor de soporte de terceros que expuso los detalles de contacto de alrededor de 66,000 usuarios en enero de 2024.
Fuente: CryptoPotato
