金曜日に発表されたアップデートで、Trezorは、配送パートナーであるShipMonkに起因するデータ漏洩が当初考えられていたよりはるかに深刻であったことを明らかにした。米国の新たに6万7000人のユーザーの個人情報——氏名、住所、電話番号、メールアドレス、注文データ——が漏えいし、影響を受けたユーザーの合計は8万700人に達し、Trezorウォレットの保有者にリスクが及んでいる。

新たに判明したデータは、Trezorが金曜日にXへ投稿した内容によれば、2019年11月から2021年8月の間に米国の顧客が行った注文が対象である。その情報の一部は約7年前のものだ。この点が重要なのは、8月にTrezorが漏洩を最初に発表した際、フルフィルメントパートナーが導入した90日間のデータ削除ポリシーにより影響を受けたユーザーの数は限定されていたとされていたためである。

本件はハードウェアウォレット業界全体のリスクを浮き彫りにしている。ベンダー自身のセキュリティが守られていても、配送や顧客サービスの外部委託により、機密性の高い顧客記録を保持する第三者が介在する。Trezorも競合のLedgerと同様、世界中へデバイスを発送するために外部の物流プロバイダーに依存しており、顧客のプライバシーは、自社が直接管理できないデータ保持慣行を持つパートナーに部分的に依存している。

Trezorのデータ漏えいが8万700人に急増

Trezorは、90日を超える注文データが削除されたことを確認する文書をShipMonkに何度も要求したと説明した。そのたびに同社は肯定的な回答を受けていた。しかしTrezorによれば、それらの文書が誤りであったことが判明した。報道によると、Trezorは、削除を約束していたデータを保持したとして、配送プロバイダーに明確に責任を負わせている。

新たな数字は従来の推計を大きく上回っている。8月時点でTrezorは影響を約1万4000人と見積もっていた。その後、ShipMonkが金曜日の発表の2日前に更新された調査結果をTrezorに報告し、合計は約8万700人に修正された。

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezorは、自社のシステムは侵害されていないと明確にした。漏洩は完全に物流側で発生したため、デバイス、秘密鍵、ウォレットのバックアップはいずれも露出していない。ただし、顧客の連絡先情報や配送情報は侵害された。この一件は、ベンダーによる保証の限界を示している。契約上の削除ポリシーと確認文書だけでは、データが実際に削除されたことを保証するには不十分だったのであり、この課題は暗号資産業界にとどまらず、顧客記録を外部の処理業者に委ねるあらゆる企業に共通するものだ。

メーリングリストが武器に変わる仕組み

最大の危険は標的化にある。自宅住所を含む、実在が確認されたハードウェアウォレット所有者のメーリングリストが流出すれば、攻撃者はその特定の個人に対し、メール、電話、さらには郵便によるフィッシング攻撃を仕掛けることができる。Trezorは影響を受けたユーザーにこうした試みへの警戒を促し、身体的安全への脅威も強調した。ハードウェアウォレットは重要な暗号資産のセルフカストディ手段として販売されているため、その購入者リストは事実上、デジタル資産を保有している可能性の高い人々のリストであり、一般的な小売業のメーリングリストと比べリスクが高まる。

この脅威はすでに現実のものとなっている。2月には、TrezorおよびLedgerウォレットの所有者が、ホログラム、QRコード、さらには偽造された役員の署名まで印刷された偽造手紙を受け取り、偽のセキュリティテストを実行しないとアカウントがロックされると迫られた。サイバーセキュリティ専門家のDavid Sehyeon Baek氏は、実名と住所宛てに届いた偽造手紙は詐欺の心理を変えると指摘した。

フィッシング問題の規模

なりすまし詐欺は、ユーザーのウォレットから資産を奪うのに技術的な脆弱性の悪用を必ずしも必要としない。実際、そうした手口はすでに暗号資産の損失額の大半を占めている。ブロックチェーンセキュリティ企業Hackenの調査では、今年第1四半期に盗まれた総額4億8200万ドルのうち、フィッシングおよびソーシャルエンジニアリング詐欺が3億600万ドルを占めた。7月には、ある投資家がイーサリアム上で悪意あるトークン取引を承認し、100万ドルを失いかけた。

また、Trezorが顧客の連絡先情報の露出を伴う漏洩に直面するのは今回が初めてではない。2024年1月、同社は2021年12月以降にサポートチームに連絡した約6万6000人の顧客がフィッシング詐欺にさらされていたことを明らかにしている。影響を受けた層が現在では数倍の規模となったことで、2019年末から2021年半ばの間にTrezorデバイスを注文した顧客は、当面の間、メール、電話、郵便による標的型詐欺の試みに遭遇し続ける可能性があり、数字がすでに一度上方修正されていることを踏まえると、保持管理体制の失敗の最終的な範囲についてTrezorまたはShipMonkからの更なる発表もあり得る。