Trezor钱包遭遇数据泄露……

ShipMonk 数据泄露事件导致 Trezor 客户数据曝光

@Trezor 已确认其第三方物流合作伙伴之一发生了一起严重数据泄露事件。 此次数据泄露事件是由 ShipMonk 的安全漏洞造成的，该公司负责存储和运送 Trezor 产品，未经授权的第三方访问了存储客户数据的系统。 此次事件共影响到美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙的 13,689 名客户。

约有 11,742 名客户的完整详细信息被泄露，另有 1,947 名客户的姓名、城市和电子邮件地址被曝光。 受影响的用户在 2026 年 5 月 10 日至 8 月 8 日期间下了订单。 泄露的信息包括全名、收货地址、电话号码、电子邮件地址和订单号。

Trezor 的 90 天数据保留政策似乎限制了事件的范围，防止了超过该期限的记录被泄露。

设备安全，但网络钓鱼风险依然存在

Trezor 表示其系统未受到入侵，设备仍然安全，但警告受影响的客户要警惕精心设计的网络钓鱼攻击，这些攻击会利用泄露的信息。

这种担忧不无道理。如果家庭住址和电话号码落入不法分子手中，就会形成一条清晰的途径，让他们可以进行有针对性的社会工程攻击。攻击者可以冒充 Trezor 客服人员或快递员，从受害者那里窃取钱包凭证。

Trezor 表示，它正在推出匿名递送选项，该选项采用储物柜取货、中性包装、通用寄件人详细信息和自动删除运输标识符，目标是在 9 月份之前在欧盟推出，并在年底之前在美国推出。

这并非Trezor第一次卷入第三方安全故障。 2024 年 1 月，该公司支持网站遭遇数据泄露，原因是未经授权访问第三方支持工单门户网站，导致约 66,000 名用户的敏感信息泄露。 最新事件凸显了供应链和物流合作伙伴对硬件钱包制造商构成的日益增长的风险，而硬件钱包制造商的客户从定义上来说就是高价值目标。

受影响的用户应将任何提及他们 Trezor 订单的未经请求的通信视为可疑信息，并避免点击链接或分享任何帐户或助记词信息。

来源：
解密：Trezor 客户数据在物流合作伙伴泄露事件中曝光
Bleeping Computer：Trezor 的支持平台被滥用于加密货币盗窃网络钓鱼攻击