仮想通貨ウォレット購入者約1.4万人の情報が流出｜配送業者から

仮想通貨ハードウェアウォレット大手Trezorは配送業務の委託先である米ShipMonkが不正アクセスを受け、顧客約1万3,700人分の個人情報が流出したと発表しました。流出したのは氏名・配送先住所・電話番号・メールアドレスで2026年5月10日から8月8日の間に米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルで注文を受けた顧客が対象です。Trezor自身のシステムや端末は侵害されておらず、保管中の仮想通貨が直接危険にさらされるものではないとしています。

発表によると住所や電話番号まで流出した「完全な流出」が11,742人、氏名・都市名・メールアドレスにとどまる「部分的な流出」が1,947人で、後者にはより古い注文が含まれる可能性があるとして確認を進めています。同社は注文データを配達後90日で削除・匿名化するポリシーを委託先にも適用しており、これが流出範囲を限定したと説明しました。

最大のリスクは、流出情報を使った精緻なフィッシングです。同社は詐欺師が銀行や取引所、Trezor自身をかたる偽のメール・電話・郵便物を送る可能性があると警告し、ウォレットのバックアップ（リカバリーフレーズ）をウェブサイトに入力したり他人に共有したりしないよう改めて呼びかけました。2013年の創業以来、電話番号や住所を含む顧客情報の流出は今回が初めてだといいます。再発防止策の一つとして、ロッカー受け取りや無地の梱包で配送情報を残さない「匿名配送」を、EUでは9月まで、米国では年内に導入する計画も示しました。

端末が無事でも「人」が狙われる

ハードウェアウォレットを巡っては、セキュリティの不安が相次いで表面化しています。8月上旬にはハードウェアウォレット「Coldcard」の欠陥を突いた208億円相当のBTC盗難疑惑や、大手ウォレット「Coinkite」の乱数生成の不備が報じられています。ただし今回の事案はこれらと性質が異なり、端末や暗号技術の欠陥ではなく「誰がウォレットを買ったか」という購入者情報の流出です。

ハードウェアウォレットの所有者は定義上まとまった仮想通貨を自己管理している可能性が高く、攻撃者にとって優先度の高い標的リストになり得ます。同種の事案は2020年に競合Ledgerの顧客情報流出でも起きており、その後長期間にわたりフィッシングや脅迫的な郵便物に悪用されました。

攻撃の入り口が機械から人へ移っていることはデータにも表れています。8月上旬に公開された調査では、仮想通貨の損失の約5割が秘密鍵の管理ミスやフィッシングなどの人的要因とされ、コードの脆弱性を上回りました。手口の高度化も進んでおり、6月にはAIを使った偽サイトで仮想通貨保有者を狙う詐欺網をグーグルが提訴しています。

端末そのものの安全性が保たれていても、リカバリーフレーズを自ら入力してしまえば資産は失われます。暗号資産はその性質上、物理的な重量や移動のコストが存在しないため、単一アドレスでの管理を行なっている場合被害額は大きくなる可能性が高いです。引き続き、ブロックチェーン上に資産を保有しているユーザーは秘密鍵や各種情報の取り扱いに注意が必要となります。

記事ソース：TREZOR