أدى خرق بيانات في ShipMonk، وهي إحدى شركات الخدمات اللوجستية التي تشحن المحافظ الصلبة الخاصة بـ Trezor، إلى كشف معلومات شخصية تعود إلى ما يقرب من 13,689 عميلًا. وتقول الشركة إن خرق بيانات ShipMonk لم يمس خوادم أو أجهزة Trezor نفسها، لكنه سرّب الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف، ولدى معظم الضحايا، عناوين الشحن المنزلية التي جُمعت بين 10 مايو و8 أغسطس 2026.
Summary
أهم النقاط
- أبلغت ShipMonk شركة Trezor يوم الاثنين 10 أغسطس 2026 بأن طرفًا غير مصرح له تمكن من الوصول إلى الأنظمة التي تحتوي على بيانات طلبات العملاء.
- تعرضت بيانات حوالي 11,742 عميلًا للكشف، بما في ذلك الأسماء الكاملة وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن؛ بينما تعرض 1,947 عميلًا آخرون لتسريب الأسماء والمدن وعناوين البريد الإلكتروني فقط.
- يؤثر الخرق على الطلبات التي أُجريت بين 10 مايو و8 أغسطس 2026 في كل من الولايات المتحدة والمملكة المتحدة والسويد وكولومبيا والبرازيل وإيطاليا والبرتغال.
- لم تُخترق أجهزة Trezor أو أنظمتها الداخلية، كما أن الطلبات التي تُنفَّذ عبر أمازون غير متأثرة.
- تخطط Trezor لإطلاق خيار تسليم مجهول في الاتحاد الأوروبي بحلول سبتمبر 2026 وفي الولايات المتحدة بحلول نهاية 2026.
خرق بيانات ShipMonk يكشف بيانات عملاء Trezor
بدأت المشكلة عندما اكتشفت ShipMonk، التي تخزن وتشحن طلبات Trezor في الولايات المتحدة والمملكة المتحدة وعدة أسواق أخرى، حدوث وصول غير مصرح به إلى أنظمتها ونقلت الخبر إلى Trezor في 10 أغسطس 2026. ووصفت Trezor ذلك بأنه “أخبار صعبة” في بيان نُشر على منصة X، قائلة إن أحد مزودي خدمات الشحن تعرض لخرق كشف بيانات طلبات حساسة. وقد عرضت الشركة هذا الحدث على أنه حادث مرتبط بالكامل بمورد طرف ثالث وليس فشلًا في بنيتها التحتية الخاصة.
ما المعلومات التي تم كشفها
تشمل البيانات المسروقة الأسماء الكاملة وأرقام الهواتف وعناوين البريد الإلكتروني، ولدى معظم الضحايا، عناوين الشحن الفعلية. وتُعد هذه التركيبة مهمة لأنها تمنح المحتالين كل ما يحتاجونه لصياغة محاولات تصيّد احتيالي مقنعة وشخصية — ليس مجرد حملة بريد إلكتروني عامة، بل رسائل أو مكالمات أو خطابات تشير إلى طلب حقيقي وعنوان حقيقي.
كم عدد العملاء المتأثرين
وفقًا لإفصاح Trezor نفسه، تعرضت المجموعة الكاملة من البيانات للكشف لدى 11,742 عميلًا: الاسم والبريد الإلكتروني ورقم الهاتف وعنوان الشحن. كما تعرض 1,947 عميلًا إضافيًا لكشف أضيق نطاقًا يقتصر على الاسم والمدينة والبريد الإلكتروني، دون إرفاق عنوان شحن. وبالمجموع، يرفع ذلك العدد إلى نحو 13,689 شخصًا، وهو رقم قامت كل من CoinDesk وThe Block بتقريبه إلى حوالي 14,000 في تغطيتهما للحادث. وقد قالت Trezor إنها لا تزال تتحقق مما إذا كانت بعض حالات التعرض الجزئي تلك تشمل طلبات أقدم تقع خارج إطار الفترة المعلنة من مايو إلى أغسطس، وتخطط لتحديث نتائجها مع استمرار تحقيق ShipMonk.
أجهزة Trezor ما زالت آمنة، لكن خطر التصيّد يرتفع
لم تُمس أجهزة Trezor أو أنظمتها الداخلية في هذا الخرق، وكانت الشركة واضحة بشأن هذا الفارق. وقالت في إشعارها للعملاء: “لم تُخترق أنظمتنا، وجهاز Trezor الخاص بك آمن“. ويُعد هذا التأكيد مهمًا لأي شخص قلق بشأن أمان المحفظة تحديدًا، إذ لا يمكن استخدام البيانات المسربة للوصول إلى الأموال أو تجاوز التشفير على مستوى الجهاز.
لكن ما يمكن استخدامها فيه هو الهندسة الاجتماعية. فهذا النوع من تعرض بيانات عملاء Trezor يضع بين أيدي المحتالين أسماء حقيقية وأرقام هواتف وعناوين يمكن نسجها في اتصالات مزيفة قابلة للتصديق.
لماذا قد يستهدف المهاجمون الضحايا لاحقًا
حذرت Trezor من أن العملاء المتأثرين قد يواجهون الآن المزيد من محاولات التصيّد الاحتيالي المتطورة عبر البريد الإلكتروني أو الهاتف أو البريد العادي، مع احتمال انتحال المحتالين صفة بنوك أو بورصات عملات مشفرة أو Trezor نفسها. وتتمثل نصيحة الشركة في ما يلي: الشك في أي رسالة تحث على اتخاذ إجراء فوري، والتحقق من أي شيء غير معتاد بمقارنته مع المدونة الرسمية لقناة Trezor وحساباتها على وسائل التواصل الاجتماعي، وعدم إدخال عبارة النسخ الاحتياطي للمحفظة في أي موقع إلكتروني أو مشاركتها مع أي شخص.
لهذا السبب يميل خطر التصيّد بعد الخرق إلى الاستمرار بعد انتهاء العناوين الإخبارية الأولى. ووفقًا لـ CoinDesk، يظل الأشخاص الذين تُكشف بياناتهم في خروقات كهذه عرضة للخطر لسنوات لاحقة، إذ تُباع سجلات الخدمات اللوجستية المسروقة وتُعاد استخدامها في عمليات احتيال جديدة بعد فترة طويلة من تلاشي الحادث الأصلي عن الأنظار. وأشارت CoinDesk إلى حالات سابقة استخدم فيها المبتزون عناوين منازل مسربة للمطالبة بدفعات فدية تتراوح بين 700 دولار و1,000 دولار، بل وأرسلوا أجهزة عتاد مزيفة مباشرة إلى الضحايا. كما لفتت المنصة إلى أن إدارة التداعيات القانونية وإجراءات المعالجة والأضرار السمعة الناتجة عن تسريب كبير لبيانات العملاء قد قُدِّر أن تكلف شركات العتاد أكثر من 33 مليون دولار في حالات مماثلة.
أبلغت Trezor منصة CoinDesk بأنه لا توجد لديها حتى الآن حالات مؤكدة لنشر البيانات المكشوفة أو بيعها أو استخدامها في عملية احتيال نشطة، وتقول إنها ليست على علم بأي محاولة اختراق مرتبطة بالحادث حتى الآن. العملاء الذين اشتروا عبر أمازون غير متأثرين، لأن تلك الطلبات تمر عبر شريك تنفيذ منفصل.
كيف تستجيب Trezor
تلقى كل عميل تعرضت بياناته للكشف رسالة بريد إلكتروني مباشرة من [email protected] تشرح ما حدث. وكانت Trezor واضحة بأن الصمت هنا يعني الأمان: إذا لم تتلق تلك الرسالة، فهذا يعني أن معلوماتك لم تكن جزءًا من هذا الخرق.
الإشعارات وإصلاحات الأمان لدى ShipMonk
من جانبها، تقول ShipMonk إنها قامت بإغلاق الأنظمة المتأثرة وتعزيز أمنها بعد الحادث، وهي تعمل الآن مباشرة مع Trezor لتحديد ما حدث بالضبط وأي السجلات تم الوصول إليها. ويظل فريق دعم عملاء Trezor متاحًا لأي شخص لديه أسئلة عالقة حول ما إذا كان متأثرًا أو ما الخطوات التي ينبغي اتخاذها لاحقًا.
قواعد الاحتفاظ بالبيانات والدفع نحو التسليم المجهول
يعود أحد أسباب عدم ارتفاع الأعداد أكثر إلى السياسة لا إلى الحظ. تفرض Trezor قاعدة صارمة للاحتفاظ بالبيانات لمدة 90 يومًا مع إخفاء الهوية لدى شركائها في التنفيذ، ما يعني أن ShipMonk مُلزَمة تعاقديًا بحذف بيانات الطلبات أو إخفاء هويتها بعد ثلاثة أشهر من التسليم. وقد صُممت هذه الفترة لتغطية العمر الواقعي للطلب — الشحن، والإرجاع، والاسترداد — دون الاحتفاظ بمعلومات العملاء إلى أجل غير مسمى. وبفضل هذه السياسة، كانت الطلبات الأقدم قد حُذفت بالفعل من أنظمة ShipMonk بحلول وقت وقوع الخرق، ما حدّ من حجم السجلات المكشوفة.
وبالنظر إلى المستقبل، تطور Trezor حلاً أكثر ديمومة. تخطط الشركة لإطلاق خيار تسليم مجهول لعملاء Trezor يمكنهم استخدامه لتلقي المحافظ الصلبة دون تقديم تفاصيل شحن تعريفية — بالاعتماد على صفحة دفع مخصصة، واستلام من خزائن، وتغليف محايد، ومعلومات مرسل عامة، مع حذف معرفات الشحن تلقائيًا بعد التسليم. ومن المتوقع إتاحة هذا الخيار في الاتحاد الأوروبي بحلول سبتمبر 2026 وفي الولايات المتحدة بحلول نهاية 2026. وفي الأثناء، تشير Trezor العملاء إلى حلول مؤقتة: استخدام عنوان بريد إلكتروني مجهول عند الدفع، والدفع بالعملات المشفرة أو البطاقات الرقمية القابلة للتصرف بدلًا من بطاقة الائتمان الشخصية، واستخدام صندوق بريد (P.O. Box) حيثما أمكن، مع الإشارة إلى أن USPS سيظل يطلب إثبات هوية وسيخزن بياناته الخاصة في تلك الحالة.
نمط يتكرر بين مصنّعي المحافظ الصلبة
وصفت Trezor هذا بأنه أول خرق في تاريخها الممتد 13 عامًا يكشف أرقام هواتف العملاء وعناوين الشحن تحديدًا، رغم أن الشركة واجهت حوادث بيانات من قبل. ووفقًا لـ CoinDesk، تعرضت بوابة دعم تابعة لطرف ثالث مرتبطة بالشركة الأم لـ Trezor، وهي Satoshi Labs، لخرق في يناير 2024 أثّر على نحو 66,000 شخص، كما أدى حادث آخر في أبريل 2022 إلى اختراق بيانات تعود لأكثر من 106,000 من عملاء Trezor. وفي أي من الحالتين لم تُخترق برمجيات الأجهزة الثابتة أو التشفير على الجهاز عن بُعد.
واجهت شركة Ledger المنافسة في مجال المحافظ الصلبة مشكلات مماثلة. فقد ذكرت CoinDesk أن Ledger تعرضت لخرق في يناير مرتبط بشريك التجارة الإلكترونية الطرف الثالث Global-e، بالإضافة إلى خرق أكبر بكثير في عام 2020 أصاب ما يقرب من 300,000 مستخدم وتبعه لاحقًا حملة تصيّد احتيالي تضمنت إرسال أجهزة Ledger مزيفة بالبريد إلى الضحايا. ويشير النمط المتكرر لدى الشركتين إلى ثغرة أوسع نطاقًا: حتى عندما يظل تشفير الشركة المصنعة للمحفظة محكمًا، تبقى شركات التنفيذ والخدمات اللوجستية التي تتولى الشحن الفعلي هدفًا سهلًا.
هذا الخطر يتصاعد على مستوى الصناعة بأكملها. فقد استشهدت CoinDesk بتقدير شركة الأمن السيبراني SentinelOne بأن خروقات البيانات العالمية ارتفعت بنسبة 17% مقارنة بعام 2025، بمتوسط نحو 2,090 هجومًا أسبوعيًا حول العالم، مع ارتفاع نشاط الخروقات بنحو 3% شهريًا منذ يناير. وبشكل منفصل، أشارت CoinDesk إلى أن حاملي العملات المشفرة يواجهون خطرًا جسديًا متزايدًا مرتبطًا بالبيانات الشخصية المسربة، مستشهدة بأرقام Certik التي تُظهر أن هجمات الإكراه المباشر بلغت 124 مليون دولار في النصف الأول من هذا العام وحده — رغم أن ليس كل تلك الحالات يمكن إرجاعها إلى خرق بيانات محدد.
الأسئلة الشائعة
ما هي ShipMonk وكيف حصلت على معلوماتي؟
تعمل ShipMonk كمزود الخدمات اللوجستية المسؤول عن تخزين وشحن شحنات Trezor. ولإتمام تسليم الطرود، تحتاج الشركة إلى هوية العميل وتفاصيل الموقع ورقم الاتصال وعنوان البريد الإلكتروني — وتُحتفظ بهذه التفاصيل حصريًا لأغراض التنفيذ.
ما البيانات المحددة التي تم كشفها في الخرق؟
تشمل البيانات المكشوفة الأسماء الكاملة للعملاء وأرقام الهواتف وعناوين البريد الإلكتروني وعناوين الشحن بالنسبة للمجموعة الأكبر من الضحايا. أما المجموعة الأصغر فقد كُشف لديها الاسم والمدينة وعنوان البريد الإلكتروني فقط، دون عنوان شحن.
كيف يمكنني معرفة ما إذا كنت متأثرًا بهذا الخرق؟
إذا تلقيت رسالة بريد إلكتروني من [email protected] بشأن الحادث الأمني، فهذا يعني أن بياناتك كانت جزءًا من التعرض. وإذا لم تصلك مثل هذه الرسالة، فتقول Trezor إنك غير متأثر.
ماذا يجب أن أفعل إذا تم كشف بياناتي؟
ابقَ متيقظًا لمحاولات التصيّد الاحتيالي عبر البريد الإلكتروني أو الهاتف أو البريد، وتحقق من أي تواصل مريب بمقارنته مع القنوات الرسمية لـ Trezor، ولا تُدخل أو تشارك عبارة النسخ الاحتياطي للمحفظة مع أي شخص، عبر الإنترنت أو خارجه.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”من هي ShipMonk ولماذا كانت لديها بياناتي؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ShipMonk هي شريك الخدمات اللوجستية الذي يخزن ويشحن طلبات Trezor. ولتسليم الطرد، تحتاج إلى اسم العميل وعنوانه ورقم هاتفه وعنوان بريده الإلكتروني — وهذا هو السبب الوحيد لاحتفاظها بأي بيانات شخصية على الإطلاق.”}},{“@type”:”Question”,”name”:”ما البيانات المحددة التي تم كشفها في الخرق؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”تشمل البيانات المكشوفة الأسماء الكاملة للعملاء وأرقام الهواتف وعناوين البريد الإلكتروني وعناوين الشحن بالنسبة للمجموعة الأكبر من الضحايا. أما المجموعة الأصغر فقد كُشف لديها الاسم والمدينة وعنوان البريد الإلكتروني فقط، دون عنوان شحن.”}},{“@type”:”Question”,”name”:”كيف يمكنني معرفة ما إذا كنت متأثرًا بهذا الخرق؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”إذا تلقيت رسالة بريد إلكتروني من [email protected] بشأن الحادث الأمني، فهذا يعني أن بياناتك كانت جزءًا من التعرض. وإذا لم تصلك مثل هذه الرسالة، فتقول Trezor إنك غير متأثر.”}},{“@type”:”Question”,”name”:”ماذا يجب أن أفعل إذا تم كشف بياناتي؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ابقَ متيقظًا لمحاولات التصيّد الاحتيالي عبر البريد الإلكتروني أو الهاتف أو البريد، وتحقق من أي تواصل مريب بمقارنته مع القنوات الرسمية لـ Trezor، ولا تُدخل أو تشارك عبارة النسخ الاحتياطي للمحفظة مع أي شخص، عبر الإنترنت أو خارجه.”}}]}
تم إعداد المقال بمساعدة الذكاء الاصطناعي ومراجعته من قبل الفريق التحريري.
