Trezor 披露，其航運服務供應商 ShipMonk 的系統遭到未經授權人士存取，導致 13,689 名客戶的個人資訊外洩。
Trezor 於 8 月 13 日發布的安全通知中表示，ShipMonk 在 8 月 10 日通知這家硬體錢包製造商，其包含客戶訂單數據的系統遭到未經授權的存取，目前事件調查仍在進行中。
此次洩露事件影響了 5 月 10 日至 8 月 8 日期間在美國、英國、瑞典、哥倫比亞、巴西、義大利和葡萄牙收到 Trezor 訂單的客戶。Trezor 表示，其自身系統未受損，其硬體錢包仍保持安全。
在受影響的客戶中，有 11,742 人的姓名、電子郵件地址、電話號碼和送貨地址遭到洩露。另有 1,947 名客戶的部分資訊遭到洩露，包括其姓名、城市和電子郵件地址。
根據 Trezor 對該事件的解釋，訂單號碼也屬於 ShipMonk 為配送所持有的資訊。
ShipMonk 作為物流供應商，負責儲存 Trezor 產品並處理美國、英國和其他幾個市場的配送。這家履行公司需要客戶的姓名、地址、電話號碼和電子郵件地址來處理貨件。
根據 Trezor 的說法，受影響客戶的數量因其 90 天的數據保留政策而受限，這項政策也要求其履行合作夥伴遵守。與較早訂單相關的客戶資訊已經被刪除或匿名化，因此未儲存在受影響的 ShipMonk 系統中。
Trezor 表示，這 90 天的期限旨在涵蓋完整的訂單流程，包括配送、退貨、退款和產品更換。一旦期限結束，與購買相關的客戶資訊就會被刪除或匿名化，因為公司不再需要該地址或電話號碼用於履行目的。
受影響的客戶已通過來自 [email protected] 的電子郵件單獨收到通知。根據該公司表示，未收到安全通知的客戶未受此事件影響。
Trezor 表示，ShipMonk 自事件發生後已加固其受影響的系統並強化其安全性。兩家公司仍保持聯繫，以查明未經授權的存取是如何發生的，並確定究竟有哪些資訊被存取。
此事件是 Trezor 自 2013 年成立以來，首次涉及該公司或其供應商的洩露事件，導致客戶電話號碼和送貨地址外洩。
Trezor 表示：「我們完全理解這件事的嚴重性及其對客戶可能造成的風險，並對受影響的人深感抱歉。」
儘管錢包設備和 Trezor 的基礎設施未受影響，但該公司警告稱，外洩的個人資訊可能被用於發起更具說服力的網路釣魚嘗試。
攻擊者可能利用客戶的姓名、電話號碼、電子郵件或住家地址來冒充 Trezor、加密貨幣交易所或銀行。該公司表示，詐騙手法可能通過電子郵件、電話或實體信件形式出現。
此前，此類攻擊曾利用個人資訊和看似官方的通訊，鎖定硬體錢包用戶。2 月份，crypto.news 報導了發送給 Trezor 和 Ledger 客戶的假冒信件，這些信件通過 QR 碼將收件人導向網路釣魚網站。
這些信件告知收件人需要完成身份驗證或交易檢查，並試圖製造緊急感，警告錢包功能可能出現問題。連結的網路釣魚頁面會要求輸入 12、20 或 24 個單詞的恢復詞組，一旦提交，攻擊者就能控制該錢包。
當攻擊者已經掌握受害者的郵寄細節時，實體信件尤其令人擔憂。2025 年 4 月的一場 Ledger 網路釣魚活動也類似地涉及印有 Ledger 品牌、商業地址和個人參考號碼的詐騙信件。
該活動中的收件人被指示掃描 QR 碼並提供其 24 個單詞的恢復詞組，理由是需要進行關鍵的安全更新。
Trezor 已告知受 ShipMonk 洩露事件影響的客戶，對要求立即採取行動或提供個人資訊的通訊應抱持懷疑。它還建議用戶根據其官方通訊來驗證訊息，並且絕不要通過網站或向他人提供錢包備份。
Trezor 之前也處理過通過第三方服務洩露客戶資訊的事件，儘管該公司表示 ShipMonk 事件是其首次涉及電話號碼和送貨地址洩露的事件。
2024 年 1 月，未經授權的一方存取了 Trezor 使用的第三方支援票務入口網站，可能導致自 2021 年底以來約 66,000 名曾與支援團隊互動的客戶的聯繫資訊外洩。
該公司當時通知了受影響的聯繫人，並表示數位資產未受損。該事件涉及外部支援系統，而非 Trezor 硬體錢包。
另一種網路釣魚方法於 2025 年 6 月出現，當時攻擊者濫用 Trezor 的聯繫表單，使用目標用戶的電子郵件地址提交支援請求。此過程觸發了 Trezor 系統發出的合法自動回覆，使由此產生的網路釣魚通訊顯得更具可信度。
Trezor 當時表示，其電子郵件基礎設施未被入侵，且聯繫表單仍是安全的。攻擊者是利用支援流程，使詐騙訊息看起來像是與合法通訊相關聯。
硬體安全性也一直受到獨立審查。6 月，Trezor 和 Tropic Square 披露了 Trezor Safe 7 中使用的 TROPIC01 安全晶片的一個晶片缺陷，此前 Ledger Donjon 的研究人員在一次獨立審計中發現了該弱點。
Ledger Donjon 在實驗室條件下使用雷射故障注入技術，提取了一些晶片機密並繞過了韌體簽名檢查。Trezor 表示，該攻擊需要實體存取和專門設備，而另外兩個獨立的安全層仍繼續保護錢包的存取。用戶無需採取任何行動。
相比之下，ShipMonk 事件涉及的是由履行供應商持有的訂單資訊，而非負責保護私鑰的硬體或軟體。
在最新披露之後，Trezor 還詳細說明了客戶可以如何減少未來購買硬體錢包時與個人資訊相關聯的數據量。
該公司建議使用一個與客戶主要身份不相關的電子郵件地址，並建議使用加密貨幣支付作為信用卡支付的替代方案。在可用的情況下，客戶也可以使用郵政信箱來減少住家地址的曝光，儘管可能仍需要身份證明和遵守郵政服務記錄要求。
Trezor 還在準備一項匿名配送服務，旨在減少硬體錢包配送期間保留的客戶資訊。
根據計劃的系統，訂單將使用專門的結帳流程、置物櫃取件、中性包裝和通用寄件人資訊。配送識別碼將在送達後自動刪除。
Trezor 表示，計劃在 2026 年 9 月前在歐盟推出匿名配送服務，並在 2026 年底前在美國推出。
