web3: пользователи аппаратных кошельков подвергаются повышенным рискам безопасности после утечки данных

В последнее время после утечки данных у двух логистических компаний пользователи аппаратных криптокошельков столкнулись с новой угрозой для безопасности. Trezor и SafePal по очереди заявили, что в результате взлома логистических партнеров были украдены личные данные и контактная информация тысяч клиентов. Зарубежные СМИ отмечают, что инцидент не повлиял напрямую на функцию офлайн-хранения кошельков, но выявил риски зависимости криптоиндустрии от внешних цепочек поставок.

Утечка информации указывает на реальные адреса

Обе компании предоставили логистическим партнерам имена, домашние адреса, электронную почту и номера телефонов, необходимые для доставки. Если эти данные попадают к злоумышленникам, риски выходят далеко за рамки спама или мошеннических звонков.

Наиболее серьезная проблема заключается в том, что злоумышленники могут определить, какие адреса принадлежат пользователям с крупными криптоактивами, и нацеленно проводить фишинговые атаки или переходить от онлайн-атак к угрозам в реальной жизни.

Риск применения физического насилия с целью получения seed-фразы увеличивается

Сообщается, что аппаратные кошельки не были удалённо взломаны, однако пользователи могут подвергнуться так называемой "атаке гаечным ключом". В подобных случаях преступники используют похищения, ограбления или угрозы насилием, чтобы заставить жертву передать seed-фразу и получить доступ к средствам на блокчейне.

По данным компании по обеспечению блокчейн-безопасности CertiK, в 2025 году уже подтверждено десятки подобных инцидентов — на 75% больше, чем годом ранее, а сумма похищенных средств превысила 40 миллионов долларов. Chainalysis сообщает, что с начала этого года сумма составила почти 30 миллионов долларов, при этом некоторые преступные группы уже прибегают к похищениям и ограблениям ради получения seed-фраз.

Как только злоумышленник получает seed-фразу, он получает полный контроль над криптоактивами в соответствующем кошельке, и переводы на блокчейне, как правило, не подлежат возврату.

Новые инциденты также затрагивают сами аппаратные кошельки

Кроме утечек в цепочке поставок, недавно были зафиксированы и новые инциденты с самими аппаратными кошельками. В сообщениях указывается, что в начале этого месяца злоумышленники угадали пароль к аппаратному кошельку Coldcard от Coinkite и напрямую украли с блокчейна более 130 миллионов долларов в криптоактивах.

По данным публикаций, атакующие смогли предсказать часть seed-фраз, сгенерированных офлайн кошельками Coldcard. Даже если кошелек и seed-фраза никогда не соприкасались с интернетом, злоумышленники всё равно могли динамически сгенерировать пароль клиента и напрямую вывести средства с блокчейна.

Trezor и SafePal также предупреждают пользователей о фишинговых атаках — в том числе осуществляемых через SMS, телефонные звонки или электронные письма. Для пользователей аппаратных кошельков риск связан не только с самим устройством, но и с такими внешними аспектами, как логистика, обработка данных и послепродажные контакты.