Trezor 週五表示，又有 67,000 名美國客戶捲入其物流供應商 ShipMonk 的資料外洩事件，這家硬體錢包製造商上個月首次披露該事件。

新發現的紀錄涵蓋 2019 年 11 月至 2021 年 8 月之間下的訂單，其中部分紀錄已有近七年歷史。ShipMonk 兩天前將此發現告知 Trezor。

外洩資料包括姓名、電子郵件地址、電話號碼、住家地址與訂單號碼。Trezor 表示，曾多次要求並收到 ShipMonk 的書面確認，稱這些紀錄已依合約與資料政策刪除，並對得知資料並未刪除表示失望。此事件提醒我們，即使公司自身的安全無虞，仍可能透過第三方供應商暴露資料——本次案例中，履約供應商持有客戶紀錄的時間遠超合約允許的期限。

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor 在 8 月披露此事件時，將其有限影響範圍歸功於一項 90 天刪除政策，並稱該政策是其談判納入履約合作夥伴條款中的。如今這一說法顯得薄弱許多：受影響客戶人數已從 13,689 人增至約 80,700 人。隨時間擴大的外洩揭露並不少見，因為調查往往會發現更多遭入侵的系統或留存的資料，未來仍可能有進一步更新。

錢包持有者面臨多重威脅

Trezor 自身的系統並未遭入侵，裝置、私鑰與錢包備份均未受影響。該公司指出，危險在於這些紀錄能將確認的硬體錢包持有者與特定住家地址對應起來。除了警告偽造電子郵件、電話與信函外，Trezor 也提醒受影響客戶注意人身安全風險，並重申錢包備份絕不應與他人分享或在網站上輸入。

Trezor 與競爭對手 Ledger 的硬體錢包持有者早在 2 月就開始收到偽造信函，信上印有全息圖、QR 碼與偽造的高階主管簽名，要求他們啟用虛構的安全檢查，否則將失去錢包存取權。Ledger 本身曾於 2020 年遭遇重大電商資料外洩，近百萬客戶的個人資料曝光，其後多年間這些客戶持續遭受釣魚攻擊與威脅——此先例說明遭竊的買家資料可以持續助長攻擊多年。

當時，網路犯罪顧問 David Sehyeon Baek 告訴 Decrypt，一封載有姓名與住家地址的信函傳達的訊息是「我們能找到你」，而且遭竊資料多年後仍有利用價值，因為人們很少搬家或更換電話號碼。

此次入侵源於分析工具 Metabase 的一個嚴重 SQL 注入漏洞，該漏洞於 8 月 6 日披露，讓未經身分驗證的攻擊者得以竊取連接資料庫的憑證。筆電製造商 Framework 與表單工具 Tally 也在同一波攻擊中受波及，顯示廣泛使用的軟體中單一漏洞如何在多家公司的資料間產生連鎖效應。據報導，ShipMonk 已收到歸因於 ShinyHunters 團體的勒索電子郵件，但此一歸因尚未獲得證實。

Trezor 表示正盡快推出匿名配送——此選項採用置物櫃取貨、中性包裝與通用寄件人資訊，讓買家完全無需提供住家地址。