Trezorがデータ侵害を公表
暗号資産ハードウェアウォレット大手Trezor（トレザー）は、自社製品の配送を担うサードパーティ事業者ShipMonk（シップモンク）のシステムが不正アクセスを受け、顧客13,689人分の注文データが流出したと発表した。
We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…
— Trezor (@Trezor) August 13, 2026
残念なお知らせがあります。弊社の配送業者の1社でデータ侵害が発生し、機密性の高い注文データが漏えいしました。この影響を受けているのは、2026年8月8日より前の90日以内に注文を受け取った…
今回の漏えいは2026年5月10日から8月8日の間に注文が行われた分が対象で、影響は米国や英国、ブラジルなど7カ国に及んでいる。流出内訳は、11,742人分の氏名、メールアドレス、電話番号、配送先住所といった全データと、1,947人分の部分データ（氏名、都市名、メールアドレス）に加え、注文番号も含まれる。
なお、契約規定に基づきデータ保持が90日間に制限されていたため、過去の旧データへの拡大は免れた。
侵入経路とMetabaseの脆弱性
原因はTrezor本体ではなく、ShipMonk側が利用していたデータ分析ツールMetabase（メタベース）に存在したSQLインジェクション（※1）の重大なゼロデイ脆弱性だ。攻撃者はこの不具合を悪用して管理者権限を乗っ取り、データを窃取したと見られている。また、背景にはハッカー集団ShinyHunters（シャイニー・ハンターズ）による恐喝の関与も浮上している。
Webアプリケーションのセキュリティ上の脆弱性を利用し、不正なSQL文を注入してデータベースを不正操作するサイバー攻撃のこと CMOより引用
巧妙化する詐欺と「物理的脅威」のリスク
Trezor側は、自社システムやウォレット機器の安全性を強調し、シードフレーズの入力や提示を求める不審な連絡に注意するよう警告している。
しかし、連絡先のみならず、自宅の配送先住所まで流出したことで、公式や金融機関になりすました巧妙なフィッシング詐欺だけでなく、保有者を狙った実社会での強盗・強奪といった物理的事件への発展が強く懸念されている。SNS上でも顧客からセキュリティ管理に対する怒りや不安の声が相次いでいる。
相次ぐ外部委託先からの情報流出
Trezorにおけるサードパーティ経由のトラブルは今回が初めてではない。2022年のメール配信サービス（MailChimp）侵害や、2024年のサポート管理ツールからのデータ流出（約6万6,000人分）など、過去にも同様の事案が発生していた。業界全体でも暗号資産関連企業の外部パートナーを標的にした攻撃が頻発しており、Trezorは今後の再発防止策として、配送関連データの自動削除や無地梱包などを取り入れた「匿名配送」サービスの構築を進める方針だ。
