Trezorは、米国の顧客6万7,000人分の情報が委託先の物流会社で流出していたと公表し、これまでに把握している被害件数は累計8万件超に達した。
重要ポイント
- 米国顧客6万7,000人分の注文情報が追加で露出し、既知の影響件数は8万件超に拡大。
- 問題の記録は2019年11月から2021年8月までの注文データ。
- Trezorは、自社システムやデバイス、秘密鍵、ウォレットバックアップへの侵害は確認されていないとしている。
流出規模が一気に拡大
9月4日のアップデートでTrezorは、声明を通じ、2019年11月から2021年8月にかけて行われた注文に紐づく米国顧客約6万7,000人のデータが追加で流出していたと明らかにした。
流出したのは、氏名、メールアドレス、電話番号、配送先住所、注文番号など、ハードウェアウォレット購入者が特定できる情報一式だ。新たに判明した対象者には、すでにメールで通知を行ったという。
物流パートナーであるShipMonkは、Trezor側が再三削除を求め、契約やデータポリシーに基づき「削除済み」との書面による確認まで得ていたにもかかわらず、これらの記録をシステム内に保存し続けていた。
Trezorは「削除完了との確認を受けていたにもかかわらず、データが実際には残存していたことに深く失望している」とコメントしている。
これにより、Trezorが把握している影響顧客数は8万件超に膨らんだ。8月時点の公表では、1万1,742人について名前、メール、電話番号、配送先住所が流出し、さらに1,947人についてはより限定的な情報が漏えいしたとされていた。
関連記事: ビットコインが2024年以降で最高の月間パフォーマンス、なおFidelityは「底入れ」認定せず
暗号資産保有者への新たなリスク
Trezorは、今回のインシデントで自社のシステムは侵害されておらず、秘密鍵やウォレットのバックアップデータ、デバイス固有情報が流出した事実はないと説明。ハードウェアウォレットそのものの安全性は損なわれていないとしている。
とはいえ、顧客データの漏えいにより、「誰がハードウェアウォレットを保有しているか」が第三者に把握されやすくなり、信頼できそうに見える情報を織り込んだ精巧な詐欺の温床になりかねない。
Trezorは影響を受けたユーザーに対し、偽メールやなりすまし電話、書面による勧誘などの増加に備えるよう警告。とりわけ、自宅住所が含まれていることから、物理的なセキュリティ面でのリスクにも言及し、単なるオンラインアカウントの乗っ取りリスクにとどまらないと強調した。
セキュリティ企業TRM Labsは、自己管理型ウォレット（セルフカストディ）がリスクを「消す」のではなく、セキュリティチェーンの別のポイントに「付け替える」だけだと指摘してきた。今回の事例では、ウォレット自体は堅牢でも、配送記録を通じて所有者の身元や連絡先、自宅住所が露出した格好だ。
インシデントが最初に公表されたのは8月13日で、この時点ではShipMonkの侵害により約1万3,689人が影響を受けたとされ、多くは「90日間のデータ保持ポリシー」に基づく直近の注文が中心と説明されていた。
その後、2019年まで遡る注文記録の存在が新たに判明したことで、Trezorが求めていた削除要件にもかかわらず、旧来の顧客データがShipMonk側システム内に残存していたことが露呈した。
