Утечки данных владельцев аппаратных кошельков: почему ваш домашний адрес стал целью хакеров

Аппаратный кошелёк в сейфе, сид-фраза на бумаге — казалось бы, что тут может пойти не так? По данным TechCrunch, за последние недели производители Trezor и SafePal зафиксировали утечки персональных данных тысяч покупателей. Скомпрометированы оказались не сами устройства, а их логистические партнёры — компании, через которых кошельки доставлялись клиентам. В открытый доступ утекли имена, домашние адреса, почта и телефоны. Для обычного интернет-магазина это рядовая новость. Для криптоиндустрии — совсем другая лига риска.

Где течёт — не там, где кажется

Сами устройства не взламывали. Это важно: криптографическая стойкость кошельков не пострадала, они по-прежнему изолированы от сети. Удар пришёлся по смежному звену цепочки — логистике. Грубо говоря, хакеры не вскрыли замок, они вытащили у почтальона список адресов, кому этот замок везли. Trezor и SafePal открыто предупредили клиентов и попросили сохранять бдительность в отношении любых входящих звонков и писем.

Почему это касается лично вас

В крипте утечка адреса — это не рассылка спама. По данным CertiK, в 2025 году зафиксировано на 75% больше так называемых wrench attacks — физических нападений с целью выбить у владельца сид-фразу. Общий ущерб аналитики оценивают свыше $40 млн. Chainalysis называет более скромную цифру за этот год — около $30 млн, и это не финальные подсчёты. Суть одна: преступники всё чаще идут не через сеть, а через дверь квартиры. В связке «ваше имя + домашний адрес + номер телефона» появляется готовый сценарий — от точечного фишинга до банального проникновения.

Что делать уже сейчас

• Если вы покупали Trezor или SafePal через обычную курьерскую доставку и кошелёк приехал на домашний адрес — считайте этот адрес скомпрометированным. Это не паника, это базовый риск-менеджмент.
• Сид-фразу по возможности вынести из дома: банковская ячейка, офис, доверенное лицо в другом городе. Хранение в одной квартире с кошельком после такой утечки — дурная привычка.
• Уберите привязку номера телефона к критичным аккаунтам. Двухфакторка — только через приложение-аутентификатор, SMS как запасной вариант, а не основной.
• Входящий звонок или письмо с просьбой подтвердить кошелёк, обновить прошивку, пройти «плановую проверку» — по умолчанию мошенничество. Ни один настоящий производитель сид-фразу никогда не спросит.

Отдельно TechCrunch описывает другой эпизод: в начале августа через уязвимость в генераторе сид-фраз устройств Coinkite Coldcard хакеры увели с блокчейна более $130 млн. Здесь сработала уже математическая дыра в коде 2021 года — напоминание, что даже у «железа», которое никогда не подключалось к интернету, бывают критические баги.

Я в своей практике давно отношусь к аппаратному кошельку как к одному из слоёв защиты, а не как к серебряной пуле. Сейчас он закрывает процентов восемьдесят сетевых рисков. Оставшиеся двадцать — физических, процедурных и человеческих — лежат целиком на вас.