硬件加密货币钱包制造商 Trezor 于周四发出警告，称其第三方物流提供商 ShipMonk 的数据泄露暴露了 13,689 名客户的个人信息，导致网络钓鱼风险升高。泄露的数据包括姓名、地址、电话号码和电子邮件地址。

该公司表示，目前没有证据表明钱包备份、加密货币资产或 Trezor 的内部系统遭到破坏。然而，Trezor 警告称，泄露的客户数据可能被用来精心策划更具欺骗性的网络钓鱼诈骗，以针对受影响的个人。

泄露事件详情

ShipMonk 于 2026 年 8 月 10 日通知 Trezor，一名未经授权的攻击者访问了包含客户数据的系统。ShipMonk 是一家总部位于美国的电子商务履行提供商，为 Trezor 提供物流服务，包括在多个市场的产品存储和运输。

在受影响的 13,689 名客户中，有 11,742 名客户的全名、电子邮件地址、电话号码和收货地址被暴露。其余 1,947 名客户的部分信息遭到泄露，包括姓名、城市名称和电子邮件地址。Trezor 正在继续与 ShipMonk 合作，以确定这 1,947 名客户的具体泄露时间窗口。

受影响的记录主要涉及 2026 年 5 月 10 日至 8 月 8 日期间下的新客户订单，并已运往美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙。

Trezor 通过其官方 X 账号公开分享了这一消息：

我们有一些坏消息要告诉大家。不幸的是，我们的一家物流提供商遭遇了数据泄露，暴露了敏感的订单数据。这影响了在美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙在过去 90 天内收到订单的新客户……

— Trezor (@Trezor) 2026 年 8 月 13 日

https://x.com/Trezor/status/2087885428313543059

数据留存与客户通知

Trezor 表示，其与物流合作伙伴签订的 90 天数据留存政策有助于限制事件的影响范围，因为较早的订单信息已被删除或匿名化。

受影响的客户已通过 help@trezor.io 发送电子邮件单独通知。该公司表示，未收到通知的客户不受影响。

Trezor 系统和钱包未遭破坏

Trezor 确认，没有迹象表明其内部系统、硬件钱包或钱包备份遭到破坏。该公司重申，客户切勿在线输入其钱包备份或将其分享给任何人。

此次泄露引发的主要风险源于暴露的个人信息，这些信息可能被用于冒充 Trezor 或制造更具欺骗性的欺诈通信。

泄露数据带来的网络钓鱼风险

姓名、电话号码、电子邮件地址和运输详情可以为攻击者提供针对定向网络钓鱼活动的背景信息。提及客户姓名、最近购买 Trezor 产品或配送细节的信息可能比普通的骗局显得更可信。

随后，攻击者可能会试图说服受害者泄露敏感信息、点击恶意链接或透露其钱包备份。建议 Trezor 用户对声称涉及钱包安全、账户问题、退款、配送或其他紧急事项的主动联络信息保持高度警惕。

Trezor 的回应与计划措施

Trezor 将此事件描述为自 2013 年成立以来首次泄露客户电话号码和收货地址的事件，并向受影响的用户致歉。

该公司计划推出“匿名配送”（Anonymous Delivery）选项，包含专属结账、储物柜取件、中性包装以及自动删除运输标识符等功能。Trezor 计划于 2026 年 9 月在欧盟推出该服务，并于 2026 年底在美国推出。

第三方事件史

ShipMonk 泄露事件是继之前涉及 Trezor 第三方提供商的安全事件之后发生的。2024 年 1 月，对 Trezor 第三方支持门户的未经授权访问可能暴露了约 66,000 名用户的姓名和电子邮件地址。2022 年的另一起 Mailchimp 泄露事件也影响了 Trezor 客户，随后出现了针对加密货币用户的网络钓鱼活动。

其他硬件钱包制造商也经历过类似事件。例如，Ledger 在 2020 年遭遇重大数据泄露，暴露了超过 100 万个电子邮件地址和数十万条客户记录，其中部分信息随后被用于加密货币骗局。

更广泛的安全影响

这些事件凸显了硬件钱包用户面临的更广泛的安全挑战：攻击者不一定需要访问钱包或其加密密钥就能定位其所有者。通过第三方违规获取的个人信息足以使骗局显得合法。硬件钱包行业中供应商端泄露事件反复出现的模式也表明，尽管自我托管解决方案可以保护私钥，但它们仍然依赖于物理供应链和服务提供商，从而在钱包本身之外创建了数据暴露面。受影响的欧盟成员国及其他拥有数据保护法规司法管辖区的客户，可能对暴露的个人数据享有的额外权利。