Datalek bij verzendpartner ShipMonk legt gegevens van 13.689 Trezor-klanten bloot
Wat er is uitgelekt
In het kort
- 11.742 klanten zijn volledig blootgesteld (naam, e-mailadres, telefoonnummer en verzendadres), 1.947 gedeeltelijk (naam, woonplaats en e-mailadres).
- Het gaat om bestellingen tussen 10 mei en 8 augustus 2026, verzonden naar de VS, het VK, Zweden, Colombia, Brazilië, Italië en Portugal.
- Trezor laat partners orderdata 90 dagen na levering wissen of anonimiseren; oudere bestellingen zaten daardoor niet in de gelekte set.
- Het is het eerste lek in dertien jaar waarbij telefoonnummers en verzendadressen van Trezor-klanten naar buiten kwamen.
ShipMonk meldde Trezor op maandag 10 augustus dat een onbevoegde partij toegang had gekregen tot systemen met klantgegevens. Het onderzoek loopt nog. ShipMonk slaat Trezor-producten op en verstuurt bestellingen naar klanten in de Verenigde Staten, het Verenigd Koninkrijk en enkele andere landen, en heeft daarvoor naam, adres, telefoonnummer en e-mailadres nodig.
Trezor benadrukt in de verklaring op zijn blog dat er geen apparaten, private keys of wallet-backups zijn geraakt. Alle getroffen klanten hebben een aparte e-mail gekregen. Wie die e-mail niet ontving, zit niet in de gelekte set.
Phishing is het directe risico
Met namen, telefoonnummers en huisadressen kunnen oplichters gerichte nepmails sturen, bellen of brieven op de mat leggen namens banken, exchanges of Trezor zelf. Het bedrijf roept klanten op om berichten die aandringen op onmiddellijke actie te wantrouwen en de wallet-backup nooit online in te voeren of te delen.
Onze systemen zijn niet gecompromitteerd en je Trezor-apparaat is veilig, maar de getroffen klanten kunnen doelwit worden van geraffineerdere phishingpogingen.
Ledger-lek uit 2020 als precedent
Hoe ver dat risico kan reiken, bleek bij concurrent Ledger. Nadat in 2020 namen, adressen en telefoonnummers van ongeveer 272.000 Ledger-klanten online waren gezet, kregen sommigen losgeldeisen met geweldsdreigingen en telefoontjes van oplichters die deden alsof ze hen kenden. Ledger meldde in januari 2026 opnieuw een lek, dit keer bij e-commercepartner Global-e.
Fysiek geweld tegen cryptobezitters neemt intussen toe. CertiK telde in de eerste helft van 2026 52 geverifieerde aanvallen, tegen 39 een jaar eerder, waarbij woninginbraak ontvoering voorbijstreefde als meest gebruikte methode. Chainalysis komt over dezelfde periode op ruim 30 miljoen dollar aan buit.
Hardwarewalletmakers waarschuwden deze maand al voor een golf phishing rond het lek in de firmware van Coldcard, waarbij de verliezen richting 130 miljoen dollar liepen.
Anonieme bezorging naar voren gehaald
Trezor zegt de eerder aangekondigde optie Anonymous Delivery te versnellen: een aparte checkout, afhalen bij een pakketkluis, neutrale verpakking, generieke afzendergegevens en automatische verwijdering van verzendgegevens na levering. Klanten die nu al minder data willen achterlaten, kunnen volgens het bedrijf bestellen met een anoniem e-mailadres, betalen met crypto of een wegwerpbetaalkaart en een postbus gebruiken.
De anonieme bezorgoptie moet in september 2026 beschikbaar zijn in de EU en eind 2026 in de Verenigde Staten.