Trezorは、第三者配送プロバイダーにおける侵害に伴い、約14,000ユーザーのデータが漏洩したことを公表した。ハードウェアウォレットメーカーは、本件は注文処理と配達を担当するフルフィルメントパートナーに起因するものであり、自社のウォレットインフラ、デバイス、ソフトウェアに起因するものではないと強調した。

同社はXでの公開声明で本件の漏洩を発表し、外部の物流ベンダーに関連するデータインシデントであると位置づけた。Trezorの投稿によると、影響を受けたレコードは配送プロバイダーが取り扱っていたもので、約14,000ユーザーに関連するものであった。

本件の侵害はCoinDeskが最初に報じたもので、漏洩はTrezorのハードウェアウォレットやソフトウェアプラットフォームではなく、フルフィルメントパートナーに起因すると指摘された。

データ漏洩であり、ウォレットの侵害ではない

配送プロバイダーの侵害とウォレットの侵害との区別は重要である。本件は注文・配達関連のレコードに関わるものであり、ウォレット資産やプライベートキーの直接的な侵害とは根本的に異なる。

Trezorデバイスは暗号鍵をオフラインで保管しており、同社はこれまで、他の問題が発生した場合でもユーザー資金は安全に保たれると主張してきた。今回の開示情報には、デバイス上の鍵やユーザーの保有資産がアクセスされたことを示す内容は一切ない。

影響を受けたユーザーに対する主なリスクはフィッシングとソーシャルエンジニアリングである。氏名や配達詳細などの個人情報が漏洩した場合、攻撃者は巧妙な偽装手口を構築できる。Trezorまたは配送ベンダーを装い、受け手を騙してリカバリーフレーズを開示させたり、悪意のあるトランザクションを承認させたりする可能性がある。このリスクはハードウェアウォレット業界でよく記録されている。競合メーカーのLedgerは2020年に約100万人の顧客に影響を及ぼすデータ侵害を受け、その後、影響を受けたユーザーは執拗なフィッシングキャンペーンに直面し、一部のケースでは長年にわたり身体的脅威を受けることになった。Ledgerの事例は、ハードウェアウォレット業界における顧客データの漏洩が、初期の漏洩期間をはるかに超える結果をもたらし得ることを示している。

暗号通貨業界において注目される第三者ベンダーリスク

本件は、暗号通貨企業が物流、フルフィルメント、顧客運営において外部プロバイダーに日常的に依存しているというより広範な脆弱性を浮き彫りにしている。コア製品が侵害されていなくても、第三者ベンダーが弱点になり得る。TrezorとLedgerは2つの主要なコンシューマー向けハードウェアウォレットブランドを代表しており、いずれかの企業で顧客データインシデントが発生することは、製品カテゴリーに対する信頼が普及の基盤であるセルフカストディエコシステム全体にとって極めて重要な意味を持つ。

信頼と安全性を価値提案の中核とするハードウェアウォレットブランドにとって、パートナーを通じた顧客データの漏洩は、ウォレット技術自体が設計通りに機能していたかどうかにかかわらず、評判を損ない、規制当局による精査を招く可能性がある。このニュースはソーシャルメディアで広く拡散され、市場コメンテーターの@MerlijnTraderもXでこの報道を共有した。

本件はまた、規制当局が包括的な法整備がない状況下でルールの検討を進めており、暗号通貨運営の監視方法の評価を続けている時期に発生した。第三者によるデータ取り扱いの実務は、インシデント発生時に規制当局の注目を集めるまさにその種の運用詳細である。

自身の情報が14,000件の影響を受けたレコードに関連している可能性のあるユーザーは、自身の注文に言及する一方的なメッセージに対して特に注意するよう推奨される。いかなる連絡も、メールやメッセージで送られてきたリンク経由ではなく、Trezorの公式チャネルを通じて直接確認すべきである。