Trezorの配送パートナーであるShipMonkでデータ侵害が発生し、同社によると最近の約13,700人の顧客に関連する情報が流出した。

Trezorによれば、外部の第三者が2026年5月から8月にかけて行われた注文に紐づく氏名、メールアドレス、電話番号、住所にアクセスした。同社は、自社の内部システムと秘密鍵は侵害されなかったと説明したが、漏えいした注文データは、個人情報を用いて顧客を信用させるフィッシング攻撃に悪用される可能性がある。

この事案は、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客に影響する。Trezorは、ShipMonkが2026年8月10日に、注文システム内で不正アクセスがあったと通知したと述べた。影響を受けた期間は、2026年5月10日から8月8日までの注文を含む。

Trezorによると、11,742人の顧客について、氏名、メールアドレス、電話番号、住所を含む完全な情報が流出した。さらに1,947人の顧客では、氏名、都市、メールアドレスに限定された部分的な漏えいがあった。

Trezorは、90日間の保持方針により被害範囲を抑えられたと説明した。というのも、事案が判明した時点で古い注文記録はすでにShipMonkのシステムから削除されていたためだ。同社は、この出来事を2013年の創業以来、電話番号と配送先住所が漏えいした最初の侵害だと位置づけた。

Trezorは「この深刻さを、私たちは完全に理解しています」と述べ、影響を受けた顧客に対するリスクを認めた。サポート窓口は引き続き、支援を必要とする顧客に開かれている。

Binance共同創業者のChangpeng Zhao氏はこの件についてコメントし、ハードウェアウォレットは一般にソフトウェア型よりも安全と見なされていると指摘した。

同氏は、この侵害が、本人確認に結びつくデバイスを配送する必要がないソフトウェアのセルフカストディーツールの利点を示していると述べた。さらにZhao氏は、「ハードウェアウォレットが『悪い』と言っているわけではない。ただ、リスクの特性が異なるだけです」と付け加えた。

Not a great month for hardware wallets. Trezor disclosed a breach at its shipping provider affecting ~13.7K recent customers. ~11.7K had full name, email, phone and shipping address exposed. Trezor systems/private keys were not compromised. The leak directly links identities and…

— CZ BNB (@cz_binance) August 13, 2026

Trezorは、影響を受けた顧客に対し、予期しないメール、電話、手紙には注意するよう促した。対応する前に、公式ブログやソーシャルチャネルと照合して確認することを推奨している。また、ウォレットのリカバリーフレーズをオンラインで入力したり、誰かに共有したりしないよう改めて注意喚起した。

今後の注文については、実在の身元と結びつかないメールアドレスを使うこと、暗号資産または使い捨てカードで支払うこと、P.O. Boxを利用することなど、データ露出を抑えるための方法を示した。ただし、受け取り時に身分確認が必要になる場合はある。

同社はまた、配送中の身元露出を減らすために設計した、今後提供予定のAnonymous Deliveryオプションを発表した。この機能では、専用のチェックアウト、ロッカー受け取り、送信者名が見えない中立的な梱包を採用する。

Trezorは、このオプションを2026年9月までに欧州連合で、年末までに米国で開始する予定だと述べた。

Trezorは、ShipMonkの侵害によって自社のシステム、製品、サービスはいずれも影響を受けていないと改めて強調した。すでに顧客の手元にあるデバイスは安全であり、秘密鍵が漏えいしたこともないという。同社は、今後の主なリスクは標的型フィッシング攻撃の増加だと説明した。