ハードウェアウォレット大手Trezorの顧客約1万4千人分の個人情報が、物流パートナーであるShipMonkが使用するビジネスインテリジェンスプラットフォーム「Metabase」の重大なゼロデイ脆弱性を悪用され盗まれました。この事件はブロックチェーンセキュリティコミュニティから即座に注目を集めました。詳細を見ると、これはTrezor自身がリアルタイムでは防ぎようのなかったサプライチェーン経由の情報流出だったことがわかります。
脆弱性の正体:CVE-2026-72898 ― CVSSスコア10.0の重大な欠陥
攻撃者が悪用したのはCVE-2026-72898で、CVSSスコアは最大値の10.0を記録しています。この脆弱性はMetabaseのパスワードリセット機能を通じた未認証のSQLインジェクションを許してしまうもので、リモートの攻撃者は事前の認証なしに、いきなり管理者権限まで昇格できてしまう状態でした。悪用が行われた時点では、この脆弱性はMetabaseの開発チームにも把握されていない真のゼロデイであり、パッチが存在しないまま実際の攻撃に使われていました。
複数組織を巻き込んだ攻撃の連鎖
最初に確認された悪用は8月2日に発生しました。8月3日には同じ脆弱性がFrameworkとTallyに対しても使われています。その後の被害にはKilo Code、n8n、Checkly、そしてShipMonkが含まれます。Metabaseは自社のクラウドプラットフォームへの侵入を検知し、8月6日に修正アップデートとともに公にこの件を警告しました。
ShipMonkは顧客に対し、Metabaseから8月6日付で不正アクセスの通知を受けたと説明しています。しかし、その時点ですでにデータは外部に流出済みでした。ShipMonkには、攻撃が起きる前に利用可能だったパッチを適用する機会がなかったのです。Metabaseからの通知を受けた後、脆弱性は塞がれ、稼働中のセッションはすべて無効化されました。ShipMonkはその後、外部専門家の協力を得てフォレンジック調査に着手しています。
Trezorへの通知は8月10日、顧客への警告はその数日後
Trezorがこの事件についてShipMonkから連絡を受けたのは2026年8月10日でした。同社はその数日以内に、影響を受けた顧客へ直接通知を行っています。8月11日には米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)がCVE-2026-72898を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦政府機関に対して8月14日までの修復を指示しました。
漏洩の規模:何が流出したのか
氏名、メールアドレス、電話番号、配送先住所を含む完全なデータセットが、Trezor顧客11,742人分について流出しました。さらに1,947人については、氏名、市区町村名、メールアドレスからなる部分的なデータが漏洩しています。合計すると、今回の漏洩による影響を受けた顧客は約13,689人にのぼります。
Trezorによれば、影響を受けた顧客の大半は2026年5月10日から8月8日の間に注文を行っており、対象国は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルにわたります。同社はまた、データが部分的に流出した1,947人の顧客の中には、より古い注文の保有者が含まれている可能性があるとも注意を呼びかけています。
被害がこれ以上拡大しなかった理由:Trezorのデータ保持ポリシー
今回の情報流出の規模が抑えられたのは、ShipMonkのセキュリティ対策によるものではなく、Trezor自身が定めるデータ保持要件によるものです。Trezorは注文情報について、配送完了から90日以内に削除または匿名化することを義務付けており、この義務は物流パートナーにも適用されます。この保持期間の短さゆえに、古い注文記録の大部分は攻撃の時点ですでにShipMonkのシステムから消えていたのです。
Trezorの中核システム、ハードウェアウォレット本体、および各種サービスについては、一切侵害を受けていません。
暗号資産ユーザーにとってこの漏洩が特に危険な理由
暗号資産ウォレット保有者の氏名、電話番号、自宅住所が組み合わさって流出することは、通常のメールアドレス漏洩よりもはるかに深刻な脅威となります。こうした情報があれば、詐欺師は極めて説得力のあるフィッシングメッセージや電話をかけたり、偽の配送通知を送りつけたり、Trezorや銀行、暗号資産取引所になりすましたりすることが、驚くほど巧妙にできてしまうのです。
ShipMonkは、脅迫グループ「ShinyHunters」からの恐喝メッセージも受け取っています。このグループがCVE-2026-72898の悪用およびTrezor顧客データの窃取に直接関与していたかどうかは、まだ明らかになっていません。
影響を受けた顧客に向けたTrezorのアドバイス
Trezorは、影響を受けた顧客に対し、自分の注文に言及する電話やメッセージ、荷物には特に警戒するよう呼びかけています。また、契約している携帯電話キャリアがSIMスワップ対策のPIN機能を提供している場合は、それを有効にすることも推奨しています。ウォレットのリカバリーシードフレーズは、いかなる場合であってもウェブサイトに入力したり、他人に共有したりしてはいけません。Trezor、銀行、暗号資産取引所のいずれも、この情報を求めることは決してありません。
影響が確認されているすべての顧客には、[email protected]からメールで通知が送られています。Trezorは、この通知を受け取っていないユーザーは今回の漏洩の影響を受けていないとしています。なお、部分的にデータが流出した顧客について、ShipMonkが影響範囲と保持期間の精査を続けているため、最終的な被害者数は今後さらに増える可能性があります。
翻訳元: https://meterpreter.org/trezor-shipmonk-metabase-breach-cve-2026-72898/
