硬件錢包商 Trezor 表示，其運送及履約服務夥伴 ShipMonk 遭遇數據外洩事故，令13,689名客戶的訂單個人資料被未經授權存取及下載。
要點一覽：
- Trezor履約夥伴ShipMonk被入侵，涉及客戶姓名、地址、電話及電郵等資料外洩。
- 當中11,742名客戶的完整紀錄被盜取，另有1,947名客戶部分資料遭暴露。
- Trezor重申，其內部系統、裝置、私鑰及錢包備份並無遭入侵或被篡改。
ShipMonk遭入侵 Trezor訂單資料曝光
Trezor在周四於官網披露，指ShipMonk於8月10日通知公司，其內部存放客戶訂單紀錄的系統被未經授權人士入侵。
事件中，約11,742名客戶的姓名、電話號碼、電郵地址及收貨地址被完整取走；另有約1,947人則涉及姓名、城市及電郵地址外洩。受影響人士均在5月10日至8月8日期間落單，貨件寄往美國、英國、瑞典、哥倫比亞、巴西、意大利或葡萄牙，並已發貨。
Trezor強調，自家系統並無被攻破，沒有任何裝置、私鑰或錢包備份遭到觸及，相關調查仍在進行中。公司指，為履約夥伴設下的「90日訂單資料刪除規則」，成功將更早期的歷史訂單排除在黑客可接觸範圍之外；而沒有收到官方通知電郵的客戶，意味並不在是次外洩名單中。
延伸閱讀： 四名交易員豪賭3.43億美元唱淡比特幣 一人已經先行認輸
釣魚風險升溫 重演Ledger前車之鑑
Trezor指出，即時風險主要在於詐騙活動，而非直接從硬件錢包中盜走資產。
公司在X警告，騙徒可利用外洩資料，冒充銀行、交易所甚至Trezor官方，以電郵、電話或實體信件方式接觸客戶，誘導用戶交出敏感資訊。Trezor提醒，用戶對任何「要求立即行動」的訊息必須高度存疑，並應透過官方渠道核實真偽；同時強調，切勿在任何網站輸入錢包備份字句或助記詞。
行業對手 Ledger 早在2020年就曾發生類似事件，約27.2萬名客戶名稱、地址及電話被公開，其後更有人收到勒索電郵。區塊鏈安全公司 CertiK 證實，2026年上半年已有52宗以實體暴力威脅加密貨幣持有人的案件，高於前一年的39宗，而 Chainalysis 統計顯示，相關攻擊已導致逾3,000萬美元資產被盜。
Trezor歷來事故及對錢包生態的影響
Trezor指，今次是自2013年成立以來，首次出現同時涉及客戶電話號碼及收貨地址外洩的事故。過往問題相對局限，例如2024年第三方客服系統被入侵，僅暴露約66,000名用戶的姓名及電郵地址，並未牽涉更廣泛的個人資料。
當時並無客戶資金損失。公司現時建議買家，可透過使用匿名電郵、以加密貨幣付款，或選擇郵政信箱作為收貨地址，以降低未來個人資料被串連或追蹤的風險。
是次披露亦發生在 Coldcard 韌體漏洞餘波未平之際。該缺陷出現後，約有233,000枚 比特幣 (BTC) 從長線持有者錢包轉出，據託管服務商 Casa 指出，其中部分屬於Trezor及Ledger用戶，將資產轉移至多重簽名（multi-sig）儲存方案以加強安全。
面對壓力，Trezor計劃推出「匿名送貨」選項，提供自提櫃取件及中性包裝，不顯示品牌標識，預計2026年9月率先在歐盟上線，並於年底前擴展至美國市場。
