Trezorの発送代行パートナーであるShipMonkがシステムへの不正アクセスを受け、約1万4,000人の顧客情報に影響があったと、同コールドストレージ型暗号資産ウォレット企業が木曜日に報告した。
Trezorによると、1万1,742人の顧客の氏名、メールアドレス、電話番号、配送先住所が流出し、さらに1,947人の氏名、居住都市、メールアドレスも侵害されており、被害は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルに及び、合計で約1万4,000人に上る。
Trezorは木曜日、X（旧Twitter）で「難しい知らせがあります。残念ながら我々の発送業者の一つでデータ流出が発生し、機密の注文情報が漏洩しました」と発表した。
今回のTrezor関連のセキュリティ侵害は、米国のサイバーセキュリティ企業SentinelOneによれば、世界的にデータ流出が過去最高水準に達している状況下で発生している。今年のデータ流出件数は2025年と比べて17％増加し、世界中で週平均2,090件の攻撃が観測されている。さらに1月以降、世界のデータ流出は月ごとに3％ずつ増加していると推計されている。
Trezorは被害を受けた顧客には全員に電子メールで通知を実施し、通知を受け取っていない顧客のデータは漏洩していないことを明らかにした。現時点で、流出した情報が公開・共有・販売されたという確認はなく、本件に関連した詐欺やハッキングの試みも把握していない。また、Amazon経由で購入した顧客に関しては別の発送パートナーが対応しているため影響はないと説明した。
さらに、Trezor自身のシステムは侵害されておらず、ウォレットデバイスの安全性も維持されているとしている。リスクは間接的なものであり、流出した顧客がメールや電話、郵便によるフィッシング攻撃の標的となる可能性が高まっていると警告した。詐欺師は漏洩情報をもとに銀行や暗号資産取引所、Trezorを装う恐れがある。
データ流出により情報が盗まれた人々はハッキングのリスクに長期間さらされ続ける。物流記録が売買またはオンラインで公開されると、サイバー犯罪者はデータを繰り返し悪用して新たな詐欺に利用する。身代金要求者は自宅住所を用いて700ドルから1,000ドルの恐喝を行い、偽造デバイスを直接郵送するケースも存在する。大規模な顧客情報流出に伴う法的対応、修復、ブランドダメージ対応にはハードウェア企業で3,300万ドル以上の費用がかかると推計されている。
また暗号資産保有者は物理的な襲撃リスクも高まっている。サイバーセキュリティ企業Certikによると、2024年上半期だけで対面強要攻撃の被害額は1億2,400万ドルに達しており、すべてがデータ流出に起因するわけではないものの深刻な問題となっている。DeepStrikeはデータ流出による年間の金銭的損失が数百億ドル規模に上ると推計している。
Trezorは13年の歴史の中で顧客の電話番号や配送先住所が流出したのは今回が初めてであると述べた。ただし、Trezorの背後にあるSatoshi Labsは2024年1月に第三者のサポートポータルのセキュリティ侵害により6万6,000人の顧客情報が漏洩したことを報告している。さらに2022年4月にも10万6,856人分の顧客情報が流出した。Trezorの内部ファームウェアやデバイス上の暗号技術は遠隔での不正アクセスを受けたことはなく、資産の盗難も発生していない。
暗号資産用ハードウェアウォレット大手のLedgerも1月に第三者のECパートナーGlobal-eに関連したデータ流出を経験している。2020年には約30万人の利用者情報が漏洩し、翌年には詐欺師が前回の流出被害者に偽のLedgerデバイスを送付するフィッシングキャンペーンを行った事例がある。