鍵は無事でも住所が流出｜仮想通貨ウォレット大手の6.7万人に被害

ハードウェアウォレット製造大手のTrezorは9月4日、物流委託先ShipMonkでの侵害により、さらに約6万7,000人の米国顧客の連絡先および注文データが流出したと公表しました。

新たに判明した記録は2019年11月から2021年8月までの米国向け注文で、氏名、メールアドレス、電話番号、配送先住所、注文番号を含みます。初回公表分は完全流出が11,742人、氏名・都市・メールに限られた部分流出が1,947人で、2026年5月10日から8月8日の注文が対象でした。同社は創業以来、電話番号と配送先住所が流出したのは今回が初めてだとしています。

90日削除ポリシーが機能せず

Trezorの配送データ方針は、購入に関する顧客情報を自社と委託先の双方のシステムから90日後に削除または匿名化すると定めています。同社は契約と方針に基づき削除の確認を繰り返し求め、書面での保証を受け取っていましたが、2019年から2021年の記録は実際には残っていました。

保証書とその日付は公開されていません。ShipMonkからより大きな範囲だと連絡があったのは9月2日です。

技術的な起点は委託先が使う分析基盤Metabaseの脆弱性です。深刻度10.0と評価されたSQLインジェクションの脆弱性CVE-2026-72898がゼロデイとして悪用され、管理者権限のセッション生成とテーブルの一括ダウンロードが可能だったと説明されています。

攻撃者については恐喝グループShinyHuntersによるものとする分析が複数のセキュリティ機関から出ていますが、Trezor自身は攻撃主体を特定していません。

鍵は守られても購入履歴は守られない

Trezor自身のシステム、製品、サービスは侵害されておらず、リカバリーシード、秘密鍵、資産に影響はありません。危険はウォレットの周囲にあります。氏名と物理的な住所と暗号資産取引業者の顧客であるという事実が結びつくため、精巧なフィッシングメール、なりすまし電話、郵送物、そして物理的な標的化のリスクが生じます。

前例もあります。2020年のLedgerの流出では27万人超の情報が漏れ、後にハッキングフォーラムへ公開されました。Trezorはロッカー受け取りと配送識別情報の自動削除を組み合わせた匿名配送オプションを準備中だとしています。

記事ソース：資料