硬體錢包製造商 Trezor 的訂單履約夥伴、第三方物流公司 ShipMonk 發生資料外洩事件，與 13,689 名 Trezor 買家相關的資訊曝光——其中包含 11,742 筆配送地址——使硬體錢包持有者的個人資料面臨風險。

ShipMonk 外洩事件始末

Trezor 在 X 上披露，ShipMonk 發生的外洩事件使屬於 13,689 名 Trezor 買家的客戶資料曝光。根據 BleepingComputer 的報導，此事件影響近 14,000 名客戶。

ShipMonk 是一家電子商務履約服務供應商——總部位於佛羅里達州羅德岱堡，是直接面對消費者市場的重要業者——為線上品牌倉儲並出貨商品。由於 ShipMonk 負責將 Trezor 裝置寄送給客戶，它持有將買家與實際配送資訊連結起來的訂單紀錄。在曝光的紀錄中，有 11,742 筆包含配送地址。

Trezor 裝置由總部位於布拉格的 SatoshiLabs 製造，該公司於 2014 年推出的初代 Trezor 是第一款廣為流通的加密貨幣硬體錢包。這段歷史正是買家名單敏感的原因之一：它形同一份可能持有自行保管資金人士的名錄。

為何配送地址外洩對錢包持有者事關重大

對硬體錢包買家而言，配送地址格外敏感，因為它將現實世界的住家地址與很可能持有自行保管加密貨幣的個人連結在一起。這與一般電商資料外洩的曝險性質不同。

核心疑慮在於現實世界的隱私，而非資金安全。Trezor 裝置以離線方式保護私鑰，因此此次外洩並不會危及錢包本身，但可能揭露誰持有錢包以及其居住地。

資安研究人員警告，這類曝險會提高在現實世界遭鎖定為目標的風險。CryptoSlate 指出，在暴力加密貨幣闖宅案件增加之際，外洩數千名 Trezor 持有者資料的事件將人身安全置於險境。

這樣的背景並非假設。Chainalysis 已在其趨勢研究中記錄暴力「扳手攻擊」的崛起——受害者會遭肢體脅迫交出加密貨幣。這個名稱源自一個古老的資安橋段，曾在 xkcd 漫畫中被生動描繪：一把 5 美元的扳手就能擊敗任何加密技術。另一份 CertiK 與 Intel3D 的報告發現，2026 年上半年實體加密貨幣犯罪激增 33%，估計損失超過 1.24 億美元。

硬體錢包產業對這類外洩有一個備受關注的前例。2020 年，競爭對手 Ledger 披露其電子商務資料庫遭入侵，曝光了約 272,000 名裝置買家的姓名、電話號碼與郵寄地址；當該資料庫其後被傾倒在駭客論壇上時，引發了長達數月的釣魚攻勢以及針對客戶的威脅通報。與此次 Trezor 事件相同，錢包私鑰或付款資料均未涉及——傷害來自通訊錄本身。

Trezor 買家接下來應注意什麼

受影響的買家應對主動接觸保持懷疑。客戶身分與地址資料外洩，通常會引發後續的釣魚電子郵件、假客服訊息以及冒名身分的企圖。提及此次外洩事件的訊息——或未經要求便以「Trezor 客服」名義寄來的訊息——尤其值得警惕，因為攻擊者經常利用公開的外洩披露來營造可信度。

Trezor 不會要求提供恢復種子，而且任何正當的客服管道都絕不需要它。恢復種子是控制硬體錢包存取權的備份助記詞，任何取得它的人都能掌控其所保護的資金。買家應透過官方管道查證任何通訊內容，而非點擊電子郵件或訊息中寄來的連結。

此次外洩也凸顯供應鏈信任缺口：即使公司自身的系統安全無虞，由 ShipMonk 等第三方合作夥伴持有的客戶資料仍可能成為薄弱環節。電商品牌經常將訂單資料交給履約業者、電子郵件平台與分析服務供應商，而每一次交接都擴大了可能發生外洩的系統範圍。

免責聲明：本文僅供資訊參考之用，不構成財務或投資建議。加密貨幣與數位資產市場風險極高。在做出任何決定之前，請務必自行研究。