Kryptowalutowe naruszenia danych w 2026: wycieki danych napędzają ataki fizyczne

Trzy naruszenia w ciągu czterech dni, każde z nich miało źródło w dostawcy, którego użytkownik końcowy nie wybrał i prawdopodobnie nigdy nie wiedział, że istnieje. SafePal straciło 39 798 rekordów klientów z powodu wady wtyczki. Trezor stracił 13 689 rekordów za pośrednictwem swojego dostawcy wysyłkowego ShipMonk. Bits of Gold, największy regulowany broker kryptowalut w Izraelu, stracił około 200 000 rekordów za pośrednictwem narzędzia analitycznego. Żadne portfele nie zostały opróżnione. Żadne klucze nie zostały skradzione. To, co zostało skradzione, jest gorsze dla określonej i rosnącej kategorii przestępstw: zweryfikowany dowód, że osoba pod znanym adresem jest właścicielem kryptowalut, w połączeniu z jej numerem telefonu, a w niektórych przypadkach z numerem identyfikacyjnym wydanym przez rząd.

Ten artykuł śledzi trzy incydenty aż do ich wspólnej technicznej przyczyny, mierzy fizyczne zagrożenie, które te rekordy teraz zasilają, i analizuje, co reakcja branży ujawnia na temat strukturalnej luki, którą producenci portfeli sprzętowych i brokerzy powoli zamykają.

Jedna luka, dwa naruszenia, cztery dni

Związek między naruszeniami Trezora i Bits of Gold stał się jasny w ciągu kilku godzin od drugiego ujawnienia. Oba mają źródło w CVE-2026-72898, krytycznym nieuwierzytelnionym wstrzyknięciu SQL w Metabase, platformie business intelligence o otwartym kodzie źródłowym, używanej przez tysiące firm do zapytań i wizualizacji wewnętrznych danych.

Luka znajduje się w punkcie końcowym resetowania hasła. Zdalny atakujący może wstrzyknąć dowolny SQL przez niezadeklarowane pola w treści żądania resetowania, uzyskać dostęp administratora do instancji Metabase, a stamtąd odczytać każdą bazę danych, z którą instancja jest połączona. Metabase oceniło ją na CVSS 10.0. Horizon3 opublikował dowód koncepcji. CISA dodała ją do katalogu znanych wykorzystywanych luk.

ShipMonk, dostawca realizacji zamówień, którego Trezor używa dla zamówień w Stanach Zjednoczonych, Wielkiej Brytanii, Szwecji, Kolumbii, Brazylii, Włoszech i Portugalii, prowadził samodzielnie hostowaną instancję Metabase. Atakujący wykorzystali CVE-2026-72898 w dniu 6 sierpnia lub wcześniej i uzyskali dostęp do danych zamówień 13 689 klientów Trezora, którzy otrzymali przesyłki między 10 maja a 8 sierpnia. Z nich 11 742 miało pełną ekspozycję obejmującą imię i nazwisko, adres e-mail, numer telefonu i adres wysyłkowy. Pozostałe 1 947 miało częściową ekspozycję ograniczoną do imienia i nazwiska, miasta i adresu e-mail.

Bits of Gold ujawniło swoje naruszenie 16 sierpnia po wykryciu nieautoryzowanego dostępu do systemu oprogramowania strony trzeciej używanego do obsługi klienta i analizy danych. Firma potwierdziła tę samą lukę CVE. Około 200 000 użytkowników mogło mieć dostęp do nazwisk, izraelskich numerów identyfikacyjnych, adresów e-mail, numerów telefonów, adresów IP, danych kont bankowych i publicznych adresów portfeli kryptowalut. Bits of Gold opisało incydent jako część szerszego globalnego ataku, który jednocześnie dotknął wiele firm.

Szersza kampania jest realna. Samo Metabase potwierdziło, że atakujący wykorzystali lukę przeciwko dzierżawcom Metabase Cloud przed udostępnieniem poprawki. Framework, Anaconda i n8n ujawnili nieautoryzowany dostęp do danych z okresu przed poprawką. Spośród około 11 000 prawdopodobnych samodzielnie hostowanych instancji Metabase znalezionych przez skanowanie całego internetu przez runZero, 4 309 było potencjalnie podatnych, a ponad 97% zidentyfikowanych hostów na dotkniętych gałęziach wydawało się niezałatanych na dzień wydania porady.

Trzecie naruszenie działa na innej luce

Incydent SafePal ma podobny czas, ale nie techniczne źródło. Producent portfeli sprzętowych wspierany przez Binance ujawnił 16 sierpnia, że luka autoryzacyjna we wtyczce do śledzenia zamówień strony trzeciej pozwoliła nieupoważnionym osobom na przeglądanie informacji o zamówieniach należących do innych klientów. Luka ujawniła 39 798 klientów, którzy złożyli zamówienia między 2 marca 2025 a 11 kwietnia 2026.

Zbiór danych jest węższy niż w przypadku naruszeń Metabase: imiona, adresy e-mail, numery telefonów, adresy dostawy i szczegóły zakupów. Nie uzyskano dostępu do fraz początkowych, kluczy prywatnych, haseł portfela, danych bankowych ani numerów identyfikacyjnych rządowych. SafePal załatał lukę, zatrudnił niezależnego audytora, skrócił okres przechowywania danych do 90 dni oraz zidentyfikował i usunął ponad 30 witryn phishingowych związanych z incydentem.

Te trzy naruszenia mają wspólny wzorzec, który jest ważniejszy niż jakiekolwiek pojedyncze CVE. W każdym przypadku systemy samej firmy nie zostały naruszone. Atakujący wszedł przez dostawcę, którego klient nie wybrał: firmę logistyczną, panel analityczny, widget śledzenia zamówień. Klient wybrał portfel lub brokera. Stojący za nim stos dostawców był niewidoczny.

Co umożliwiają skradzione dane

Standardowe zapewnienie po takim naruszeniu brzmi, że żadne środki nie zostały naruszone. Takie ujęcie traktuje dane jako uciążliwość, przydatną do phishingu, który uważny użytkownik może zauważyć i usunąć. Pomija jednak kategorię przestępstw, które te rekordy zasilają.

Raport CertiK H1 2026 dotyczący ataków typu wrench udokumentował 52 zweryfikowane przypadki użycia przemocy fizycznej w celu wydobycia kryptowalut od ofiar, co stanowi wzrost o 33% w porównaniu z 39 incydentami w pierwszej połowie 2025 roku. Ekspozycja finansowa osiągnęła 124,1 miliona dolarów, ponad 11 razy więcej niż 10,5 miliona dolarów w tym samym okresie rok wcześniej.

Metody ataków się zmieniają. Włamania do domów związane z kradzieżą kryptowalut wzrosły z jednego przypadku w pierwszej połowie 2025 roku do 20 w pierwszej połowie 2026 roku, co czyni je najczęstszym zweryfikowanym typem ataku. Porwania wzrosły z 12 do 16. Atakujący coraz częściej celują w osoby bliskie posiadaczom kryptowalut: krewni lub znajomi stanowili około 25% do 30% udokumentowanych przypadków na początku 2026 roku, w porównaniu z prawie zerem w 2021 roku.

Francja odpowiada za 33 z 52 zweryfikowanych przypadków, czyli 63,5% wszystkich incydentów na świecie. Kraj odnotował 41 porwań związanych z kryptowalutami w 2026 roku, średnio mniej więcej jedno co dwa i pół dnia. Ta koncentracja jest częściowo efektem raportowania – francuskie organy ścigania śledzą i publikują te przypadki bardziej systematycznie niż większość jurysdykcji, ale skala nie jest wyjaśniona samym raportowaniem.

Dane z naruszeń z tego tygodnia są dokładnie tym, czego wymaga atak typu wrench. Potwierdzony klient kryptowalut, adres dostawy zweryfikowany przez zrealizowaną dostawę, numer telefonu do inżynierii społecznej, a w przypadku Bits of Gold numer identyfikacyjny rządu i publiczny adres portfela. Atakujący nie musi zgadywać, kto posiada kryptowaluty. Naruszenie to potwierdza.

Ekonomia jest prosta. Nabywca na ciemnym rynku płaci kilkaset dolarów za wyselekcjonowaną listę zweryfikowanych posiadaczy kryptowalut z adresami domowymi. Jedno udane włamanie do domu lub porwanie przynosi dziesiątki tysięcy do milionów dolarów w kryptowalutach, które są nieodwracalne po przekazaniu. Skorygowany o ryzyko zwrot dla atakującego poprawia się z każdym naruszeniem, które dodaje zweryfikowane rekordy do rynku. Ekspozycja finansowa w wysokości 124,1 miliona dolarów z 52 incydentów w pierwszej połowie 2026 roku oznacza średni zysk około 2,4 miliona dolarów na udany atak, chociaż mediana jest prawdopodobnie niższa, a kilka przypadków o wysokiej wartości zawyża średnią.

Geografia zagrożenia również się rozszerza. Podczas gdy Francja dominuje w liczbie zweryfikowanych przypadków, Chainalysis udokumentował incydenty w co najmniej 14 krajach w 2026 roku. Wielka Brytania, Stany Zjednoczone, Brazylia, Holandia i Republika Południowej Afryki odnotowały wiele przypadków. Naruszenie Trezor dotyczy konkretnie klientów w siedmiu krajach. Naruszenie Bits of Gold dotyczy izraelskich klientów, jurysdykcji, która wcześniej nie pojawiała się w statystykach ataków typu wrench na dużą skalę.

Precedens Ledgera i dlaczego ma znaczenie teraz

To nie pierwszy raz, gdy naruszenie portfela sprzętowego zasiliło kampanię fizycznych gróźb. Naruszenie bazy danych e-commerce Ledgera w 2020 roku ujawniło około 272 000 rekordów klientów, w tym pełne nazwiska, numery telefonów i adresy domowe. Dane zostały sprzedane prywatnie, zanim zostały publicznie opublikowane w grudniu 2020 roku.

To, co nastąpiło później, stało się najbardziej przejrzystym studium przypadku w branży, pokazującym, jak skradzione dane adresowe przekładają się na realne szkody. Kampanie phishingowe wykorzystywały prawdziwe nazwiska i szczegóły zakupów, aby podszywać się pod wsparcie Ledger. Listy z żądaniami okupu trafiały na adresy domowe, żądając od 700 do 1000 dolarów w Bitcoinie, ostrzegając, że odmowa doprowadzi do doxxingu lub ataków fizycznych. W 2021 roku atakujący wysyłali fizycznie zmodyfikowane urządzenia zastępcze na adresy z wycieku, pakując je w folię z fałszywym papierem firmowym, instruując ofiary, aby wprowadziły frazy odzyskiwania na zmodyfikowanym sprzęcie zaprojektowanym do kradzieży seedów.

Sześć lat później dane z wycieku Ledger nadal krążą w kampaniach phishingowych. Oszuści w 2026 roku wysyłali fizyczne listy do klientów Ledger, wykorzystując te same dane adresowe z 2020 roku, co pokazuje, że dane z wycieku nie wygasają. Adres domowy z 2020 roku nadal jest adresem domowym w 2026 roku dla większości ofiar, które się nie przeprowadziły.

Wycieki z sierpnia 2026 roku są większe łącznie. Ledger ujawnił 272 000 rekordów. Trzy wycieki z tego tygodnia ujawniły 253 487, a zestaw danych Bits of Gold zawiera numery identyfikacyjne rządowe i publiczne adresy portfeli, których nie zawierał zrzut Ledger. Wzbogacenie jest gorsze. Atakujący pracujący na zrzucie Ledger wiedział, że ktoś kupił portfel sprzętowy. Atakujący pracujący na danych Bits of Gold wie, że ktoś posiada kryptowaluty, gdzie mieszka, jaki ma numer identyfikacyjny rządowy i może zweryfikować saldo w łańcuchu.

Problem dostawcy, którego nikt nie rozwiązał

Firmy produkujące portfele sprzętowe sprzedają się na bezpieczeństwie. Urządzenie generuje klucze offline. Oprogramowanie układowe jest open source. Bezpieczny element opiera się fizycznemu manipulowaniu. Żadne z tych rzeczy nie ma znaczenia, gdy firma przekazuje adres domowy klienta zewnętrznemu dostawcy realizującego zamówienia, który prowadzi niezałataną platformę analityczną.

Trezor bezpośrednio przyznał tę lukę. Firma ogłosiła, że uruchomi Anonimową Dostawę w Unii Europejskiej do września 2026 roku, a w Stanach Zjednoczonych do końca roku. Usługa pozwoli klientom otrzymywać urządzenia bez podawania adresu domowego jakiemukolwiek pośrednikowi wysyłkowemu. To pierwsza strukturalna odpowiedź producenta portfeli sprzętowych na problem danych dostawcy.

Odpowiedź SafePal skupiła się na wtyczce: łatka, audyt, ograniczenie retencji. Bits of Gold zatrudniło firmę do reagowania na incydenty i odłączyło dotknięty system. Żadna z firm nie ogłosiła zmian w sposobie wyboru lub audytu dostawców, którzy obsługują dane klientów.

Problem strukturalny polega na tym, że model bezpieczeństwa dla przechowywania kryptowalut traktuje urządzenie i klucze jako granicę. Rzeczywista granica obejmuje każdego dostawcę w łańcuchu dostaw, który wie, że klient istnieje i gdzie mieszka. Dostawcy realizujący zamówienia, platformy analityczne, narzędzia wsparcia klienta, widżety śledzenia zamówień i procesory płatności przechowują pewien podzbiór tych informacji. Każdy z nich jest celem, a klient nie ma wglądu w to, którzy dostawcy są w łańcuchu ani jakie oprogramowanie uruchamiają.

Koszt retencji

Polityka retencji danych jest pojedynczą zmienną, która decyduje o tym, jak duży może być wyciek. Wada wtyczki SafePal ujawniła zamówienia złożone w ciągu 13 miesięcy. Ekspozycja Trezora przez ShipMonk obejmowała okres trzech miesięcy. Bits of Gold nie ujawniło okresu retencji, ale 200 000 dotkniętych klientów sugeruje lata zgromadzonych rekordów.

Po wycieku SafePal skrócił retencję do 90 dni. To właściwy kierunek, ale rodzi pytanie: dlaczego poprzedni okres wynosił 13 miesięcy? Śledzenie zamówień nie wymaga przechowywania adresu domowego klienta przez rok po dostawie. Potwierdzenie wysyłki potrzebuje go przez dni, a nie miesiące.

Zasada jest prosta. Każdy dzień, w którym rekord istnieje poza swoim celem operacyjnym, to dzień, w którym może zostać skradziony. Powierzchnia wycieku to nie liczba dostawców. To liczba dostawców pomnożona przez liczbę rekordów, które każdy z nich przechowuje, pomnożona przez czas, przez który te rekordy istnieją.

Co faktycznie by to naprawiło

Trzy zmiany strukturalne zmniejszyłyby promień rażenia następnego wycieku. Żadna nie wymaga nowej technologii. Wszystkie wymagają decyzji, których firmy dotychczas unikały.

Pierwszą jest poświadczenie bezpieczeństwa dostawcy. Każda firma, która obsługuje dane klientów kryptowalut, powinna wymagać od swoich dostawców utrzymywania aktualnych poziomów poprawek w oprogramowaniu dostępnym w Internecie i dostarczania dowodów tej zgodności w określonym harmonogramie. Podatność Metabase miała poprawkę dostępną 6 sierpnia. ShipMonk został naruszony 6 sierpnia lub wcześniej. Bits of Gold wykryło nieautoryzowany dostęp kilka dni później. Program poświadczeń dostawcy, który wymagałby miesięcznego raportowania zgodności poprawek, oznaczyłby niezałatane instancje Metabase, zanim zostały wykorzystane.

Drugim jest minimalizacja danych. Dostawca realizujący zamówienia potrzebuje adresu dostawy, aby dostarczyć paczkę. Nie potrzebuje tego adresu po potwierdzeniu dostawy. Narzędzie obsługi klienta potrzebuje numeru referencyjnego zamówienia, aby znaleźć sprawę. Nie potrzebuje do tego adresu domowego klienta. Zasada minimalizacji danych, zbierania tylko tego, co niezbędne i usuwania tego, gdy potrzeba wygaśnie, jest zapisana w RODO, CCPA i większości nowoczesnych ram prywatności. Rzadko jest egzekwowana na poziomie dostawcy w kryptowalutach.

Trzecim jest przejrzyste ujawnianie dostawców. Klienci wybierający portfel sprzętowy lub brokera nie mają obecnie możliwości dowiedzenia się, którzy dostawcy otrzymają ich dane. Klienci Trezora nie wiedzieli, że ShipMonk istnieje, aż do ujawnienia naruszenia. Klienci SafePal nie wiedzieli, który plugin śledził ich zamówienia. Prosty rejestr dostawców, publikowany na stronie internetowej firmy i aktualizowany przy zmianie dostawców, dałby klientom informacje potrzebne do oceny własnego ryzyka.

Żaden z tych środków nie eliminuje naruszeń. Zmniejszają one liczbę rekordów dostępnych do kradzieży, okno czasowe, w którym te rekordy istnieją, oraz zdolność klienta do podejmowania świadomych decyzji dotyczących firm, którym powierza dane adresowe.

Precedens istnieje poza kryptowalutami. Sieci kart płatniczych wymagają od sprzedawców i ich procesorów utrzymania zgodności z PCI DSS, w tym regularnego skanowania podatności i testów penetracyjnych. Sprzedawca, który nie spełnia wymogów, może stracić zdolność przetwarzania kart. Nie istnieje żaden równoważny standard dla firm obsługujących dane adresowe klientów kryptowalut. Branża traktuje dane adresowe jako szczegół logistyczny, a nie krytyczny zasób bezpieczeństwa, mimo że dane adresowe w połączeniu z dowodem posiadania kryptowalut stwarzają wyższe ryzyko na rekord niż skradziony numer karty kredytowej, który można cofnąć, kiedykolwiek.

Ogłoszenie Trezora o anonimowej dostawie jest pierwszą oznaką, że przynajmniej jedna firma dostrzega problem strukturalny. To, czy konkurenci pójdą w ich ślady i czy podejście wykroczy poza wysyłkę na analitykę, wsparcie i narzędzia marketingowe, zadecyduje, czy sierpień 2026 stanie się punktem zwrotnym, czy kolejnym incydentem, który przyniesie ujawnienia, powiadomienia i żadnych trwałych zmian.

Przeciwny argument: dlaczego to może niewiele zmienić

Kontrargumentem jest to, że naruszenia danych są na porządku dziennym, a związek z przemocą fizyczną jest przesadzony. Co roku kradzione są miliony rekordów klientów e-commerce. Zdecydowana większość ofiar doświadcza czegoś gorszego niż spam. Ataki typu wrench attack, choć rosną, pozostają rzadkie w ujęciu bezwzględnym: 52 potwierdzone przypadki na szacunkowo 400 milionów użytkowników kryptowalut na świecie.

Ten argument ma rację w kwestii częstości występowania. Nie sprawdza się w kwestii problemu selekcji. Ogólne naruszenie e-commerce nie mówi atakującemu, które ofiary mają płynne aktywa na okaziciela przechowywane pod znanym adresem. Naruszenie portfela kryptowalut lub brokera już tak. Atakujący może przefiltrować skradzioną bazę danych pod kątem celów o wysokiej wartości, używając historii zakupów, adresów portfeli i częstotliwości zamówień. Celowanie jest precyzyjne w sposób, w jaki naruszenie sklepu odzieżowego nigdy nie jest.

Coinbase ujawnił w swoim ostatnim raporcie rocznym, że wydał 8,7 miliona dolarów na fizyczne środki bezpieczeństwa dla pracowników i kadry kierowniczej w odpowiedzi na trend ataków typu wrench attack. Gdyby zagrożenie było przesadzone, ta pozycja nie istniałaby.

Co oglądać

• Harmonogram premiery Trezor Anonymous Delivery. Cel dla UE to wrzesień 2026, dla USA koniec roku. Jeśli premiera odbędzie się zgodnie z planem, inni producenci portfeli sprzętowych będą pod presją, aby dorównać temu rozwiązaniu.
• Wskaźnik adopcji łatki Metabase. Na dzień publikacji zalecenia ponad 97% zidentyfikowanych samodzielnie hostowanych instancji na dotkniętych gałęziach było niezaktualizowanych. Następna fala naruszeń z CVE-2026-72898 to kwestia czasu, a nie prawdopodobieństwa.
• Francuska reakcja legislacyjna. Ponieważ 33 z 52 zweryfikowanych ataków typu "klucz francuski" (wrench attack) skoncentrowano we Francji, ministerstwo spraw wewnętrznych tego kraju zasygnalizowało potencjalne działania regulacyjne dotyczące sposobu, w jaki firmy kryptowalutowe przechowują i udostępniają dane adresowe klientów.
• Raporty CertiK i Chainalysis za drugą połowę 2026. Dane za pierwszą połowę roku wykazały 52 incydenty i 124,1 miliona dolarów ekspozycji. Dane za drugą połowę, spodziewane na początku 2027, pokażą, czy sierpniowa klastra naruszeń spowoduje mierzalny wzrost ataków fizycznych.
• Zmiany polityki przechowywania danych w całej branży. SafePal przeszedł na 90 dni. To, czy konkurenci pójdą w ich ślady, czy 90 dni stanie się de facto standardem, wskaże, jak poważnie branża traktuje problem danych dostawców.

Często zadawane pytania