権限のない第三者が、Trezorのフルフィルメントパートナーが保有する顧客データにアクセスした。この漏洩は7か国の13,689人の顧客に影響している。うち11,742人については、氏名、配送先住所、電話番号、メールアドレスが露出の対象となっている。

Trezorは、チェコの企業SatoshiLabsが所有するハードウェアウォレットブランドであり、同社は2013年に初の広く入手可能な暗号資産用ハードウェアウォレットを市場に投入した。そのデバイスは秘密鍵をインターネットから隔離されたオフライン環境で保管するため、最も安全なセルフカストディ(自己保管)形式の一つとされている。そうしたセキュリティ重視の姿勢ゆえに、この顧客リストは価値を持つ。リストに載っている者の多くは高い確率で暗号資産を保有しているからである。今回の件は、2026年5月10日から8月8日までの期間の注文が対象で、配送先は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルだった。関係したサービスプロバイダーはShipMonkで、米国フロリダ州フォートローダーデールに本社を置き、北米とヨーロッパでオンライン事業者向けの倉庫を運営するフルフィルメント企業である。同社によれば、デバイス、秘密鍵、ウォレットのバックアップは影響を受けていない。これを受けて、メーカーは匿名配送オプションも発表した。

ShipMonkでのTrezorデータ漏洩で明らかになったこと

ShipMonkは2026年8月11日、顧客データを保持するシステムへの不正アクセスをTrezorに通知した。Trezorはデバイスをオンラインで販売しているため、配送は外部パートナーが担当する。フルフィルメントプロバイダーは保管、ピッキング、配送を担うため、エンドユーザーの完全な配送先住所と連絡先情報が必要となる。そうした情報がなければ小包は配達できないからである。まさにこのデータセットが露出していた。2日後、同社はこの件を公表した。

影響を受けた顧客は2つのグループに分かれる。11,742人の顧客については、氏名、配送先住所、電話番号、メールアドレスを含む完全な情報が露出した。残り1,947人については、氏名、都市名、メールアドレスに限定される。両グループを合わせたものが報告された13,689件である。氏名と電話番号は標的型フィッシング電話を可能にし、配送先住所は保有者の場所を物理的に特定可能にする。

同社によれば、アクセスはデバイスにも秘密鍵にもウォレットのバックアップにも及んでおらず、Trezor自身のシステムも攻撃者の手には一切届かなかった。全体として、この事件は製品を取り巻くロジスティクス(物流)層を直撃したものだ。メーカーは、影響範囲が限定的だったのは、契約上フルフィルメントパートナーにも適用される厳格な90日間のデータ保持ポリシーによるものだとしている。それより古い注文データはすでに存在しないため、以前の出荷は影響期間の対象外となる。Trezorはまた、影響を受けたすべての顧客に個別にメールで通知し、この件について公に謝罪した。調査は継続中で、今後の更新情報は同社のブログで公開される予定である。

住所リストが暗号資産保有者に特別なリスクをもたらす理由

ハードウェアウォレットの購入者リストは、通常の顧客ベースではない。自宅の住所をTrezorの購入と結びつければ、それは有力な標的を特定することを意味する。その購入者は高い確率で多額の暗号資産を保有しているからである。

前例は2020年にさかのぼる。パリを拠点とする競合のLedgerでは、攻撃者がサードパーティのインターフェースを通じて約110万件のメールアドレスを奪取した。さらに約27万2,000件の、氏名、電話番号、郵便住所を含む詳細な記録も入手された。2020年12月、このデータは最終的にオンライン上で公開された。その後まもなく、大規模なフィッシングおよび恐喝キャンペーンがLedgerの顧客を襲い、場合によっては身体の安全への脅かしに及んだ。Ledgerはその後、公式声明でこの件に言及した。

それ以降、脅威の状況は悪化している。ニューヨークに拠点を置くブロックチェーン分析企業Chainalysisの集計では、2026年上半期に世界で46件の暗号資産関連の暴力的事件が発生しており、1年前の40件から増加した。いわゆる『レンチアタック』と呼ばれるこれらの事件には、誘拐、住居侵入、人質取立てが含まれる。犯人は今年上半期だけで約3,000万米ドルを奪い、合計では1億700万米ドルの獲得を試みた。Chainalysisによれば、これにより2026年は2025年の年間記録である5,800万米ドルを更新するペースにある。ただし、攻撃者の成功率は2025年の49%から26%に低下しており、試行件数は増加する一方で、成功する件数は減少している。

地域別では、フランスが際立っている。Chainalysisは同国で30件の公知の事件を確認しており、当局は70件超を記録している。この分析企業は、税務当局でのデータ漏洩を一因として挙げている。この漏洩は2024年に発生し、大パリ圏が影響を受けた。ある職員が、氏名、住所、電話番号、保有資産を含む裕福な暗号資産保有者の記録を盗んで売却したとされる。犯罪グループはその後、この資料を攻撃の計画に利用し、記録された保有資産に基づいて標的を選んだ。結局のところ、住所リストから家の玄関まで至る経路は実証済みなのである。

住所問題への回答としての匿名配送

最初の通知から約1時間後、Trezorは『Anonymous Delivery(匿名配送)』と名付けられたオプションを発表した。これはまさに、ShipMonkで露出したデータのカテゴリーを狙ったものだ。顧客はまず、チェックアウト時に本名ではなくニックネームまたはラベルIDを入力する。出荷物は自動化されたパーセルステーション(宅配ロッカー)に送られ、購入者自身がそこで受け取る。こうした自動宅配ロッカーは、ヨーロッパの多くの地域で既に定着した配送形式となっている。実名と自宅住所はサービスプロバイダーの下で一緒に保管されることがなくなり、氏名と住所を持った配達員が玄関先に現れることもなくなる。

さらに、梱包には目印がなく一般的な差出人名が記され、受取PINはメールまたはSMSでのみ送られる。受取場所としては宅配ステーションが自宅住所に取って代わり、購入者の実名は出荷物に記載されなくなる。その結果、サービスプロバイダーが侵害された場合でも、漏れるのは仮名と受取場所のみとなる。Trezorはこのプロジェクトを現在の最優先事項としている。

このオプションは、EUでは2026年9月から利用可能になる予定である。米国では2026年末にかけての提供が予定されている。それまでの間、注文は既存のチャネルを通じて処理され続ける。一方で、このタイムラインは発表の限界を示している。すでに影響を受けた13,689人の顧客にとって、新しい配送オプションは何も変えない。結局のところ、この発表は、配送データそれ自体がセキュリティ問題であることの認めでもある。

報告義務と事件の背後にあるパターン

Trezorの背後にはチェコに拠点を置くSatoshiLabsがいるため、この事件にはヨーロッパのデータ保護法が適用される。一般データ保護規則(GDPR)は、特に漏洩が影響を受ける人々にリスクをもたらす場合、監督当局への72時間以内の報告を義務付けている。同規則への違反に対しては、最大2,000万ユーロまたは企業の全世界年間売上高の4%の罰金が規定されている。本件の管轄はチェコの監督当局ÚOOÚに属することになる。報告期限は漏洩を認識した時点から起算されるため、時計は2026年8月11日に動き始めた。ただし、Trezorがそのような報告を行ったか否か、いつ行ったかについては、公には記録されていない。EU以外でも、影響を受けた7か国がさらなる通知制度を持ち込み、米国では50州すべてが独自の漏洩通知法を運用している。

Trezor自身も、この仕組みに以前から遭遇している。2022年4月には、攻撃者がメールプロバイダーMailchimp上の同社のニュースレターアカウントを侵害し、それを使ってデータ漏洩が発生したとされるフィッシングメールを顧客に送り付けた。Trezorは当時、そのような漏洩は発生していなかったことを確認していた。このパターンの繰り返しが際立っている。いずれの事例でも、データは暗号資産ユーザー自身が管理するシステムの外にあった。以前はマーケティングインターフェース、ニュースレターアカウント、税務当局であり、今回は配送プロバイダーである。その結果、サードパーティプロバイダーは暗号資産保有者に対して繰り返し現れる攻撃ベクトルを形成している。デバイスの暗号技術が問題だったことは一度もない。購入者にとって、保管のセキュリティは注文の時点から始まり、その背後にある物流は脆弱なままである。