Trezor 資料外洩事件擴大，再影響 67,000 名美國客戶
重點速覽
- •Trezor 的資料外洩現已影響另外 67,000 名於 2019 年 11 月至 2021 年 8 月間下單的美國客戶，高於最初估計的 14,000 名用戶。
- •外洩資訊包括姓名、電子郵件地址、電話號碼、收貨地址及訂單詳情，Trezor 表示這源自物流供應商 ShipMonk 儘管做出書面保證，仍未刪除相關資料。
- •Trezor 自身系統並未遭到入侵，但攻擊者可能利用外洩資料假冒該公司進行釣魚攻擊，以竊取用戶的助記詞。
- •根據區塊鏈安全公司 Hacken 的數據，釣魚和社交工程詐騙佔今年第一季加密貨幣產業 4.82 億美元損失中的 3.06 億美元。
- •物流供應商和客服工具等第三方廠商屢屢成為加密貨幣公司資料安全的薄弱環節。
硬體錢包供應商 Trezor 的資料外洩事件影響範圍證實比最初估計更大，目前已擴及另外 67,000 名美國客戶。
Trezor 在週五的一篇 X 貼文中表示，引用其物流供應商 ShipMonk 的最新更新，此次外洩可能危及更多於 2019 年 11 月至 2021 年 8 月間下單的美國用戶。
受影響客戶的完整資料遭到暴露，包括姓名、電子郵件地址、電話號碼、收貨地址及訂單詳情。Trezor 指責該物流供應商未刪除這些訂單的資料，儘管 Trezor 表示曾收到 ShipMonk 的書面保證。
雖然 Trezor 自身系統並未遭到入侵，但此次外洩可能威脅這 67,000 名客戶的數位資產持有。攻擊者可能利用外洩資訊發動假冒 Trezor 的釣魚攻擊，企圖竊取控制用戶錢包的助記詞。像 Trezor 這樣的硬體錢包，其設計目的正是將私鑰保持離線以防止遠端入侵，但這種保護無法涵蓋自願將恢復短語交給冒充製造商之人者的用戶——這正是此類資料外洩對社交工程詐騙者特別有價值的原因，他們可以藉此撰寫引用真實訂單詳情、極具說服力的個人化訊息。
今年 8 月，Trezor 最初估計僅有 14,000 名用戶的資料透過該物流供應商外洩。另外，Trezor 於 2024 年 1 月通報，約有 66,000 名用戶若自 2021 年 12 月以來曾聯繫該公司客服團隊，便面臨釣魚攻擊風險。此事件並非 Trezor 獨有：物流供應商、行銷平台和客服工具等第三方廠商，屢屢成為加密貨幣公司資料安全的薄弱環節，因為公司可以掌控自身基礎設施，卻只能依賴外部合作夥伴的合約保證。
釣魚攻擊和社交工程並不需要利用程式碼漏洞。即便如此，根據區塊鏈安全公司 Hacken 的數據，這些基於冒充的詐騙在今年第一季造成了加密貨幣產業損失的大部分，佔總損失 4.82 億美元中的 3.06 億美元。
今年 7 月，一名加密貨幣投資人在以太坊上簽署惡意釣魚代幣授權交易後，損失近 100 萬美元。
