ハードウェアウォレット大手のTrezorは、配送・物流業務を委託する第三者事業者ShipMonkでデータ侵害が発生し、2026年5月10日から8月8日の間に同社製品を注文した顧客のうち、約1万4000人分の個人情報が流出したことを明らかにした。ShipMonkは8月10日月曜、内部で利用する分析基盤Metabaseの脆弱性を攻撃者に突かれ、不正アクセスが発生したとTrezorに通知した。
Trezor自身の公表によれば、氏名・メールアドレス・電話番号・配送先住所の全項目が流出した顧客は1万1742人にのぼり、さらに氏名・市区町村・メールアドレスといった一部情報が流出した顧客も1947人存在するという。影響を受けた顧客は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルにまたがる。
侵害を免れたもの
Trezorは、今回の侵害が自社のインフラやデバイス本体、ファームウェア、秘密鍵には一切及んでいないと強調した。流出はあくまでShipMonk側のシステムと、同社がTrezorに代わって保有していた注文処理データに限定されているという。ハードウェアウォレット企業にとって、秘密鍵やファームウェアそのものの侵害であれば配送記録の流出とは比較にならないほど深刻な事案となるだけに、この切り分けは重要な意味を持つ。
関連記事: 詐欺・拉致ネットワーク、マレーシアへ拠点を移す動きか
バイナンス創業者のチャンポン・ジャオ(CZ)氏はこの一件について公に見解を示し、流出したデータが対象となった顧客をフィッシングやソーシャルエンジニアリング、さらには物理的なセキュリティリスクにさらしかねないと警告した。今回の侵害は実在の個人の身元と自宅住所を、暗号資産用ハードウェアウォレットの所有という事実に直接結びつけるものであり、一般的なEコマース顧客の情報流出に比べて、暗号資産保有者にとってははるかに機微な情報だという。
物理的なハードウェアウォレットが抱える構造的リスク
CZ氏の警告は、ハードウェアウォレットというカテゴリーに内在するより広いトレードオフを指摘するものでもある。物理的なデバイスを購入し配送を受けるという行為は、その人物の身元と住所を暗号資産の保有と結びつける実世界の痕跡を必然的に生む。物理的な配送を伴わないソフトウェアウォレットや自己管理型ウォレットにはない性質だ。詐欺師はこの種の流出した配送データを悪用し、Trezorや銀行、取引所を装った説得力のある偽メールや電話、郵便物を送りつけたり、より深刻なケースでは物理的な窃盗を狙う標的の特定に用いたりする可能性がある。
Trezorは影響を受けたすべての顧客に個別に通知しているとし、脆弱性が解消されたことを確認するためShipMonkとの協働を開始したと述べた。ただし、今後の配送業務の委託体制を見直すかどうかについては言及していない。
