Trezorが発表、ShipMonkの情報漏洩で約1万4,000人の顧客データが流出

プラハに拠点を置く暗号資産向けコールドストレージデバイスのメーカーTrezorは木曜日、約1万4,000人の顧客の個人情報が流出する大規模なデータ侵害が発生したことを公表しました。 

今回の事案は、同社のサードパーティ物流パートナーであるShipMonkで発生したもので、11,742人の購入者の氏名、配送先住所、電話番号、メールアドレスが流出しました。さらに1,947人の顧客については、氏名、市区町村、メールアドレスといった一部の情報が流出しており、そのうち一部は通常の保存期間の対象外となる過去の注文に関連している可能性があります。

今回の漏洩は主に、2026年5月10日から8月8日の間にデバイスを受け取った米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客に影響します。Trezorによると、一部情報が流出した1,947件の記録には過去の注文が含まれている可能性があり、現在も該当する時期の確認を続けているとのことです。

Trezorは自社の内部システムおよびデバイス自体は安全性が保たれていると強調する一方で、今回の流出により利用者が巧妙なフィッシングキャンペーンの標的になるリスクが大幅に高まっていると警告しています。「これがどれほど深刻な事態であるか、そして顧客に及ぼしうる潜在的なリスクについて、私たちは十分に理解しています。影響を受けた皆様には心よりお詫び申し上げます」とTrezorは声明で述べています。

攻撃経路

影響を受けた利用者に送付された侵害通知およびBleepingComputerが確認した内容によると、ShipMonkは今回の侵入の原因を、サードパーティの分析プラットフォームMetabaseの脆弱性に特定しています。同物流会社の説明では、権限を持たない第三者が深刻なSQLインジェクションのゼロデイ脆弱性を悪用し、自社のMetabaseインスタンスへの管理者権限アクセスを取得したとのことです。 

Metabaseはその後、この脆弱性に対する修正パッチを適用し、有効なセッションを無効化しています。フレームワークおよびオンラインフォーム作成ツールのTallyも、侵害を受けたMetabaseインスタンスが関与する情報漏洩を公表しています。BleepingComputerによると、ShipMonkはShinyHuntersを名乗る人物から恐喝メールを受け取ったとのことですが、同レポートでは、このグループが最初の侵入を実行したと断定するには至っていません。

物理的な脅威

現在、暗号資産保有者を取り巻く状況を踏まえると、今回の物理的な住所の流出は特に深刻な懸念材料と言えます。ブロックチェーンデータプロバイダーのChainalysisによると、2026年6月下旬までに世界全体で46件の暗号資産関連の暴力事件が確認されており、これは2025年の同時期の40件を上回っています。2026年に発生した事件のうち、52%が誘拐に関するものでした。

「犯罪者たちは、暗号資産の保有者が即座かつ不可逆的に移転可能な形で資産を保有していることから、高価値の標的であると認識しています」とChainalysisは指摘しています。

今回の事案は、2013年のTrezor創業以来、顧客の電話番号や配送先住所が流出した初めてのケースとなります。また、これは別の事件——7月30日に発生したColdcardのハッキング事件——の直後に起きたものでもあります。この事件では、安全性の低い秘密鍵が生成されるバグが原因で、1億ドル以上が盗まれました。 

Mercuryoの最高顧客責任者であるAshna Vaghela氏は、Bloombergの報道によると、今回の全体的な懸念点について次のように強調しています。「ビットコイン業界がColdcardのハッキング事件の余波をいまだ受け止めきれていない中、今回の事件は、攻撃者がウォレット自体ではなくウォレットを取り巻くエコシステムを標的にした場合、信頼がいかに急速に損なわれうるかを浮き彫りにしています」。

今後の対応

Trezorはこのリスクを軽減するため、「匿名配送(Anonymous Delivery)」というオプションの提供を試みています。これは、購入者専用のチェックアウトを利用し、ブランドの入っていない梱包でデバイスを中立的なロッカーへ配送してもらえるというものです。このサービスは、EUでは2026年9月の開始、米国では年末までの展開が予定されています。 

それまでの間、影響を受けた利用者に対しては、身に覚えのない連絡はすべて疑ってかかり、Trezorの公式チャネルを通じて内容を確認すること、そしてウォレットの24単語のリカバリーシード(復元フレーズ)を絶対にオンライン上で入力しないことが推奨されています。

関連記事:Trezorの事案と同様に、 DentaQuestの情報漏洩もサードパーティのプロバイダーを通じて個人情報が流出した事例です。これは、組織がベンダーから引き継ぐセキュリティリスクを浮き彫りにしています。