ハードウェア暗号資産ウォレット「Trezor」を手がけるSatoshiLabsの顧客約67,000人がさらに、氏名・メールアドレス・電話番号・配送先住所を流出させ、フィッシング攻撃のリスクが高まっています。
「流出した情報は、詐欺メールや不正な電話・郵便物に悪用される可能性があり、被害を受けた個人が物理的なセキュリティリスクにさらされる恐れもあります」と、チェコを拠点とする同社は、Trezorウォレットの配送を代行する企業ShipMonkで発生した2026年8月のデータ侵害に関する続報で認めています。
配送パートナーで発生した侵害
Trezorメーカーが8月13日に公表した当初の通知によると、攻撃者は顧客データを保管していたShipMonkのシステムに侵入しました（ShipMonkは後に、この侵害はMetabaseのクラウドSaaSプラットフォームに存在したSQLインジェクションのゼロデイ脆弱性を攻撃者に悪用されたことが原因だったと顧客に伝えています)。
SatoshiLabsは配送業者に対し、顧客データを90日後に削除または匿名化するよう義務付けていましたが、ShipMonkは2026年5月10日から8月8日の間に米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルへ配送された注文についてこれを怠っていたようで、3,889人の顧客が影響を受けました。
先週の続報でSatoshiLabsは、同じ侵害により、2019年11月から2021年8月の間に注文した米国拠点の顧客約67,000人分についても、配送情報一式が攻撃者の手に渡ったことを認めました。
「ShipMonkとの取引関係全体を通じて、私たちは契約内容、データポリシー、過去のやり取りに沿ってデータの削除を繰り返し要求し、その旨の文書による確認も受け取っていました。この確認を受けていたにもかかわらず、彼らのシステムでデータが削除されていなかったことに、私たちは非常に落胆しています」とSatoshiLabsは改めて表明しています。
被害対応と今後の対策
それぞれの流出が発覚するたびに、同社は影響を受けた顧客にメールを送り、詐欺行為への警戒を呼びかけてきました。
この暗号資産ウォレットメーカーは、自社のシステム自体は侵害されておらず、顧客のデバイスは安全であると確認しています。
SatoshiLabsとShipMonkの提携関係が今後も続くのかどうかは現時点では未定ですが、同社は匿名配送のオプション――「専用チェックアウト、ロッカー受け取り、無地包装、汎用的な差出人情報、配達後の配送識別情報の自動削除」――をできるだけ早く提供できるよう取り組んでいるとしています。
それまでの間、Trezorの暗号資産ウォレットを購入した事実を誰にも知られたくない顧客は、注文時に匿名のメールアドレスを使用し、支払いは暗号資産または使い捨てのデジタルカードで行い、配送先には私書箱を利用することが推奨されます。
物理的な攻撃のリスク
Redditでは、複数の顧客がフィッシング電話や、物理的な郵便で送られてきたQRコードフィッシングを受け取ったと報告しています。
QRコードフィッシングの郵便物（提供: Aim-AsphaltMan）
「2013年のTrezor創業以来、顧客の電話番号や配送先住所が流出する侵害を経験したのは今回が初めてです。これがどれほど深刻な事態であり、お客様にどのような潜在的リスクをもたらすかを私たちは十分に理解しており、影響を受けた皆様には心よりお詫び申し上げます」と同社は認めています。
ブロックチェーン分析企業Chainalysisによると、暗号資産保有者を狙った暴力的な攻撃はここ数年で急増しています。
「暗号資産の普及が進むにつれ、スマートフォンやハードウェアウォレットを通じて数百万ドル相当の資産にアクセスできる個人が存在するという認識も、犯罪者の間で広がっています」と同社は最近の報告で述べています。
「私たちの推計では、暴力的な犯罪者は今年これまでに保有者から3,000万ドル以上を奪取することに成功しています。このペースが下半期も続けば、2026年は過去最悪となった2025年の合計5,800万ドルを上回り、暗号資産を狙った暴力犯罪において史上最悪の年になる可能性があります。」
一般的には、暗号資産の保有状況を公に明かさないこと、そしておとり用・強要対策用のウォレット、パスフレーズで保護された隠しウォレット、マルチシグ(複数署名)認証の仕組みを利用することが推奨されています。
翻訳元: https://www.helpnetsecurity.com/2026/09/08/trezor-shipping-partner-breach-phishing-attacks/
