Trezorのデータ漏えいが拡大、米国の購入者6万7,000人が新たに露出

新たに特定された記録は、2019年11月から2021年8月の間に行われた米国向け注文を対象としており、すでに複数国にまたがる直近の顧客13,689人に影響していた事案を拡大するものだ。総じて、侵害は現在およそ80,000人に及ぶが、Trezorのシステム、デバイス、秘密鍵、ウォレットのバックアップは侵害されていない。

侵害でさらに67,000人の米国顧客を確認

前回の開示に続き、Trezorは9月2日、Shipmonkの侵害が当初報告より大規模であることを把握したと述べた。古い記録には顧客の氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれており、攻撃者にとって詐欺をはるかに説得力のあるものにし得る情報を与えてしまう。

この発見はとりわけ憂慮すべきだ。というのも、Trezorによれば同社はShipmonkに対し繰り返し情報の削除を求め、削除済みであるとの書面による確認も受け取っていたという。Trezorは、これらの保証は同社の契約、データポリシー、およびフルフィルメント提供会社との過去のやり取りと整合していたと述べた。

それはまた、フルフィルメント・パートナーにおけるTrezorが掲げる90日間のデータ保持ポリシーにも疑問を投げかける。新たに見つかった記録は何年も前にさかのぼり、影響を受けた2019〜2021年の米国顧客に対してそのポリシーが適用・徹底されていなかったことを示している。

漏えいした住所で脅威はメールのフィッシングを超える

露出した情報だけでは、攻撃者がTrezorウォレットにリモートでアクセスすることはできない。暗号資産ウォレットを管理するための秘密の復旧用語である秘密鍵やシードフレーズは、侵害の対象ではなかった。

しかし、露出した情報の種類は別の問題を生む。Trezorは、漏えいした電話番号や自宅住所が影響を受けた顧客を身体的リスクにさらす可能性があると警告し、実在の注文番号や連絡先の詳細が詐欺師による同社のなりすましをより巧妙にする恐れがあるとした。

侵害はTrezorの外部で発生した。攻撃者は、Shipmonkが使用していた分析プラットフォームMetabaseにおける未知のSQLインジェクション脆弱性を悪用した。Metabaseは8月6日ごろShipmonkに通知し、脆弱性を修正してセッションを無効化した一方、Shipmonkは後に、自社システムを確保したと説明した。

サードパーティのデータ不備がハードウェアウォレット購入者を危険にさらす

この事案は、Trezor顧客に関わる他のサードパーティによる露出に続くものだ。2022年の事案では約106,856人の顧客が影響を受け、2024年には侵害されたサポートポータルにより最大66,000件の氏名とメールアドレスが露出した。いずれのケースでも、ハードウェアウォレット自体がリモートで侵害されたわけではない。

この違いは、顧客がどのように対応するかを判断する上で重要だ。Trezorは、同社の誰であってもウォレットのバックアップを求めることはないと警告しており、顧客はシードフレーズをウェブサイトに入力したり、サポートを提供すると主張する人物に渡したりしてはならない。

Shipmonkの先行きが不透明ななか、Trezorは匿名配送を推進

Trezorは現在、ハードウェアウォレット購入時に保持される顧客情報の量を減らすことを目的としたAnonymous Deliveryシステムを推進している。このシステムには、ロッカーでの受け取り、中立的な梱包、一般的な差出人表示、配達後の配送識別子の自動削除が含まれ、欧州でのローンチは9月を目標に、米国での展開は2026年末までに予定されている。

現時点で、TrezorはShipmonkを外す計画を発表していない。同社は以前、事案の全体像を把握した後にパートナーシップの将来を判断すると述べており、影響を受けた顧客数が既知の範囲で80,000人に近づくなかでも、その判断は未決のままだ。この問題は、2026年に起きた複数の恐ろしいハードウェアウォレット関連の事案、すなわちSafepalに関連するものやColdcardウォレットにも続いている。