コールドストレージ型暗号資産ウォレット企業のTrezorは、発送代行を担当するShipMonkのシステムに不正アクセスがあり、約1万4,000人の顧客情報が流出したことを木曜日に報告した。
Trezorによると、1万1,742人の顧客の氏名、メールアドレス、電話番号、配送先住所が漏洩し、加えて1,947人の氏名、居住都市、メールアドレスも侵害された。被害者は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルに及び、合計約1万4,000人に上る。
Trezorは木曜日、X（旧Twitter）を通じ「難しい知らせがあります。残念ながら、発送業者の一つでデータ流出が発生し、注文情報が漏洩しました」と発表した。
米国のサイバーセキュリティ企業SentinelOneによれば、このTrezor関連のセキュリティ侵害は、世界的にデータ流出件数が過去最高水準に達するなかで起きた。今年のデータ流出は2025年と比べ17％増加しており、週平均2,090件の攻撃が観測されている。また、1月以降は月ごとに約3％増加しているとみられる。
Trezorは流出被害を受けた顧客には全員に電子メールで通知済みであり、通知を受け取っていない顧客の情報は漏洩していないことを明らかにした。現時点で流出情報の公開・共有・販売は確認されておらず、関連した詐欺やハッキング被害も報告されていないという。また、Amazon経由で購入した顧客は別の発送パートナーが対応しているため、影響は及んでいないとも説明している。
さらに、Trezor自身のシステムへの侵害はなく、ウォレットデバイスの安全性も維持されているとし、影響は間接的であるとした。流出した顧客情報を悪用したメールや電話、郵便を利用するフィッシング詐欺のリスクが高まっていると警告。また、詐欺師は漏洩情報を用いて銀行や暗号資産取引所、Trezorを装う恐れがある。
データ流出で情報を盗まれた被害者は何年もハッキングのリスクにさらされ続ける。物流記録が売買または公開されると、サイバー犯罪者が繰り返し詐欺に利用する。身代金要求者は自宅住所を使い700ドルから1,000ドルの恐喝を行い、偽造デバイスを直接郵送するケースもある。大規模な顧客情報流出に伴う法的対応や修復、ブランドイメージの回復には、ハードウェア企業で3,300万ドル以上の費用がかかると推計されている。
また、暗号資産保有者は物理的襲撃のリスクも高まっている。サイバーセキュリティ企業Certikによれば、2024年上半期の対面強要攻撃被害額は1億2,400万ドルに上る。これらのすべてがデータ流出に起因するわけではないが、深刻な課題である。DeepStrikeは年間のデータ流出による金銭的損失が数百億ドル規模に及ぶと推定している。
Trezorは13年の歴史のなかで、顧客の電話番号や配送先住所が流出したのは今回が初めてと説明。一方、Trezorの運営元であるSatoshi Labsは2024年1月、第三者のサポートポータルのセキュリティ侵害により6万6,000人の顧客情報が漏洩し、2022年4月にも10万6,856人分の情報流出があったと報告している。Trezorの内部ファームウェアやデバイスの暗号技術は遠隔からの不正アクセスを受けておらず、資産の盗難も発生していない。
また、大手暗号資産用ハードウェアウォレットのLedgerも2024年1月に第三者のECパートナーGlobal-eに関連したデータ流出を経験している。2020年には約30万人の利用者情報流出があり、翌年には詐欺師がその被害者に偽のLedgerデバイスを送りつけるフィッシングキャンペーンを展開した。
