ハードウェアウォレット大手 Trezor は、出荷業務を委託している ShipMonk で発生した情報流出により、合計1万3,689人分の顧客注文情報が外部に漏えいしたと木曜日に公表した。
主なポイント
- Trezorの物流パートナーであるShipMonkが不正アクセスを受け、顧客の氏名、住所、電話番号、メールアドレスなどが流出。
- うち1万1,742人についてはフルの注文記録が盗まれ、さらに1,947人は一部項目のみが漏えい。
- Trezorは、自社のシステムやデバイス、秘密鍵、ウォレットバックアップには一切影響はないと強調している。
ShipMonkの侵害でTrezorの注文データが漏えい
Trezorによると、ShipMonkから8月10日、顧客注文データを保存する内部システムに「不正な第三者」が侵入したとの報告を受けたという。同社は木曜日に公表したブログで詳細を明らかにした。
具体的には、1万1,742人の顧客について、氏名、電話番号、メールアドレス、配送先住所が盗まれた。また、別の1,947人は、氏名と都市名、メールアドレスのみが漏えいした。対象となったのは、5月10日から8月8日のあいだに注文し、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガル宛てに出荷された顧客だ。
一方で、Trezorは自社インフラが侵害された形跡はなく、デバイス本体、秘密鍵、ウォレットバックアップなどは一切触れられていないと説明。調査は継続中だとしている。また、フルフィルメントパートナーに対し「90日で注文データを削除する」ルールを課していたことから、それ以前の注文データは攻撃者の範囲外だったという。通知メールを受け取っていない顧客は、今回の漏えい対象には含まれていないとしている。
関連記事: ビットコインを空売りした4人のトレーダー、総額3.43億ドルのうち1人がすでに撤退
Ledger事件が示した「次はフィッシング」のリスク
目先で最も懸念されるのは、ウォレットからの直接的な盗難ではなく、フィッシングを中心とする詐欺行為だ。
TrezorはXで警告を発し、流出した情報をもとに、詐欺グループが銀行や仮想通貨取引所、さらにはTrezor本人を装って、メールや電話、郵送物で連絡してくる可能性が高いと指摘した。同社は、急ぎの対応を迫るような連絡はまず疑うべきであり、必ず公式チャネルで真偽を確認するよう顧客に求めている。特に、ウォレットのバックアップフレーズをウェブサイトに入力する行為は「決して行ってはならない」と強調した。
ライバルである Ledger は2020年、約27万2,000人分の顧客の氏名、住所、電話番号が流出し、その後一部顧客に身代金メールが届く事態となった。ブロックチェーンセキュリティ企業 CertiK は、2026年上半期だけで暗号資産保有者を狙った物理的な襲撃が52件あったと確認しており、前年同期の39件から増加。Chainalysis によれば、こうした物理的な攻撃により3,000万ドル超が奪われたという。
Trezorの流出履歴とウォレット利用への影響
顧客の電話番号と配送先住所までが漏えいしたのは、2013年のTrezor創業以来、今回が初めてとなる。それ以前の事案としては、2024年に外部委託していたサポートポータルが侵害され、約6万6,000人分の氏名とメールアドレスが流出したが、影響は限定的だった。
当時も顧客資産の流出は確認されていない。Trezorは今回改めて、個人情報の曝露を抑えるための対策として、匿名性の高いメールアドレスの利用、暗号資産での支払い、私書箱など自宅以外への配送を選択する方法を案内している。
こうした情報流出は、ハードウェアウォレット市場全体の不安を高めるタイミングで起きている。直近では Coldcard のファームウェア不具合が発覚し、その後、長期保有者のウォレットから約23万3,000 Bitcoin (BTC) が移動した。ウォレットプロバイダー Casa によると、その一部はTrezorやLedgerユーザーがマルチシグ運用に切り替えた動きだという。
Trezorは今後、ロッカー受け取りと目立たない梱包を組み合わせた「Anonymous Delivery（匿名配送）」オプションを導入する計画だ。まず2026年9月までにEU域内で開始し、年末までに米国にも展開することを目指している。
次に読む: XRPの売り圧力が0.86に低下、5月以来の弱さ
