Producent sprzętowych portfeli kryptowalutowych Ledger poinformował, że naruszenie danych, do którego doszło u jego partnera e-commerce Global-e, nie dotknęło infrastruktury Ledger ani bezpieczeństwa środków użytkowników.
- Incydent był ograniczony do systemów Global-e i objął część danych zamówień klientów Ledger.com,
- Nie doszło do wycieku danych płatniczych, haseł ani fraz seed; użytkownicy zachowują wyłączną kontrolę nad kluczami prywatnymi.
Incydent u partnera e-commerce, nie w systemach Ledger
Ledger potwierdził, że nieautoryzowany dostęp dotyczył wyłącznie środowiska informatycznego Global-e, platformy transgranicznej obsługującej rozliczenia zakupów na Ledger.com w modelu Merchant of Record. Współpraca obu firm została nawiązana w październiku 2023 r., a zakres wycieku obejmował dane zamówień części klientów korzystających z tej ścieżki zakupowej.
Jak przekazał rzecznik Ledgera, naruszenie nie miało żadnego związku z oprogramowaniem, urządzeniami ani siecią producenta portfeli. Firma podkreśliła, że jej własna infrastruktura pozostała nienaruszona.
Jakie dane zostały ujawnione
Z relacji użytkowników publikowanych w mediach społecznościowych wynika, że incydent doprowadził do ujawnienia ograniczonego zestawu danych osobowych. Ledger, powołując się na ustalenia niezależnych ekspertów ds. informatyki śledczej, potwierdził, iż w grę wchodziły informacje takie jak imię i nazwisko oraz dane kontaktowe.
Spółka zaznaczyła jednocześnie, że nie doszło do naruszenia danych płatniczych, w tym numerów kart czy rachunków bankowych. Poza zakresem wycieku pozostały również dane logowania i hasła użytkowników. Global-e nie przechowuje wrażliwych danych osobowych, takich jak płeć, data urodzenia czy numery dokumentów tożsamości, w ramach standardowej obsługi klientów.
Brak dostępu do fraz seed i środków użytkowników
Ledger ponownie przypomniał o kluczowej zasadzie konstrukcyjnej swoich urządzeń: są to portfele typu self-custodial. Oznacza to, że dostęp do kluczy prywatnych oraz 24-wyrazowej frazy seed, umożliwiającej odzyskanie dostępu do środków, ma wyłącznie użytkownik.
Firma jednoznacznie stwierdziła, iż Global-e nie ma dostępu do fraz seed, sald na blockchainie ani jakichkolwiek poufnych informacji dotyczących aktywów cyfrowych. W komunikacie skierowanym do klientów Ledger zaapelował także o wzmożoną czujność wobec potencjalnych prób phishingu, które mogą wykorzystywać ujawnione dane kontaktowe.
Szerszy kontekst i działania po naruszeniu
Ledger poinformował, że nie był jedyną marką dotkniętą naruszeniem. Według spółki nieautoryzowany podmiot uzyskał dostęp do chmurowego systemu Global-e, zawierającego dane o zamówieniach klientów kilku firm korzystających z tej platformy.
Producent portfeli sprzętowych podkreślił, że pozostaje w stałym kontakcie z Global-e w celu powiadomienia poszkodowanych użytkowników oraz przekazania im praktycznych zaleceń dotyczących ochrony danych i bezpieczeństwa cyfrowego.
Śledź CrypS. w Google News. Czytaj najważniejsze wiadomości bezpośrednio w Google! Obserwuj ->
Zajrzyj na nasz telegram i dołącz do Crypto. Society. Dołącz ->
