Trezor expone datos de clientes por brecha en ShipMonk

Trezor informó que una brecha en su proveedor de logística y envíos ShipMonk expuso información de pedidos de clientes, entre ella nombres completos, direcciones de envío, teléfonos y correos electrónicos. La empresa precisó que el incidente puede afectar a nuevos clientes que recibieron un pedido en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal entre el 10 de mayo y el 8 de agosto de 2026.

Alcance del incidente

Según el comunicado publicado por Trezor, ShipMonk almacenaba datos necesarios para la entrega de paquetes, como nombre, correo electrónico, número de pedido, número de teléfono y dirección de envío. La compañía explicó que solo quedaron potencialmente expuestos pedidos de los 90 días previos al 8 de agosto de 2026, debido a una política de borrado de datos a los 90 días.

CoinDesk detalló que la advertencia alcanzó a casi 14.000 usuarios. En esa publicación, la empresa informó que 11.742 clientes tuvieron exposición completa de nombre, dirección de envío, correo electrónico y número de teléfono, mientras que otros 1.947 quedaron expuestos de forma parcial, con nombre, ciudad y correo electrónico.

El alcance regional incluye a clientes en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. Bloomberg también señaló que la brecha afectó a usuarios que habían recibido un pedido dentro de los 90 días anteriores al 8 de agosto de 2026, incluyendo Brasil.

Qué dijo Trezor sobre sus sistemas

La empresa afirmó que la brecha se originó por acceso no autorizado a los sistemas de ShipMonk que contenían datos de clientes. También indicó que la investigación interna sigue en curso.

Trezor remarcó que sus propios sistemas, productos y servicios no fueron afectados. De acuerdo con su comunicado, ninguna billetera de hardware ni claves privadas fueron comprometidas. Yahoo News recogió la misma postura y agregó que tampoco fueron alcanzados dispositivos, claves privadas ni copias de seguridad de billetera.

Respuesta del proveedor

BleepingComputer informó que ShipMonk atribuyó el incidente a una vulnerabilidad explotada en Metabase, la plataforma de analítica de terceros que usaba el proveedor. Según ese reporte, la falla ya fue parchada y se invalidaron sesiones activas. El mismo medio indicó que ShipMonk inició una investigación técnica detallada con asistencia de expertos externos en TI.

Protos señaló que Trezor todavía estaba reuniendo información sobre el incidente y que, cuando tenga el cuadro completo, decidirá sobre el futuro de su relación con ShipMonk.

CryptoRank añadió que la empresa planea introducir Anonymous Delivery en la Unión Europea en septiembre de 2026 y en Estados Unidos antes de fin de año, como medida de mitigación tras la brecha.