ビットコインウォレットメーカーTrezor、13,689人の顧客情報流出を確認

ビットコイン(BTC)のセルフカストディ利用者を中心に影響が及ぶ事案として、ハードウェアウォレットメーカーのTrezorは、配送パートナーにおけるセキュリティ侵害により顧客13,689人の個人データが流出したことを公式インシデント通知で確認した。同社によると、侵害が発生したのは出荷業務を委託するサービスプロバイダー側であり、デバイスのファームウェアや社内システムへの侵入ではない。流出したデータの内訳は、11,742人分が氏名・配送先住所・電話番号・メールアドレスを含み、残り1,947人分は氏名・都市名・メールアドレスのみにとどまる。影響を受けた注文は、8月8日以前の90日間に米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルへ出荷された新規購入分だ。Trezorは90日間のデータ保持ポリシーが影響範囲を限定したと説明する一方、流出した情報がフィッシングやソーシャルエンジニアリング攻撃に悪用され、ビットコインやその他のアルトコイン資産の保有者を標的とする可能性があると警告している。通知では、ウォレットのバックアップをウェブサイトに入力したり、サポートを装う第三者と共有したりしないよう強く呼びかけている。影響を受けた顧客には個別に連絡が取られており、今後の続報は公式チャネルを通じて公開される予定だ。

同社の説明で特に重要なのは、流出データセットに暗号学的な秘密情報が一切含まれていないという点である。秘密鍵、ウォレットバックアップ、リカバリーシード、PINはいずれも侵害された記録に含まれておらず、Trezorはこのインシデントに関連する詐欺・ハッキング・直接的な安全上の脅威を確認していないと述べている。この区別が重要なのは、今回の侵害が実世界の身元情報とセルフカストディ機器の購入を紐付けてしまうからだ。これは対象者がビットコイン(BTC)を保有している可能性を示唆するシグナルとなり得る。攻撃者は氏名・電話番号・住所を組み合わせ、正当なサポート案内を装ったメール・SMS・電話・郵便を精緻に作成できる。したがって長期的な危険は即座のトークン喪失ではなく、リカバリーフレーズの開示を促すクレデンシャルハーベスティングや心理操作にある。ユーザーには、今回の漏洩だけを理由に資産の移動を急がないよう助言する一方、すでにウォレットバックアップを不審なサイトに入力した場合は公式ガイドラインに従って資産を移動させるべきだとされている。またTrezorは、2026年9月までにEU域内で匿名配送オプションを導入する計画を示しており、ウォレット所有と自宅住所の紐付けを解消する狙いがある。

今回の事案は、サードパーティのフルフィルメント(物流代行)が暗号資産インフラストラクチャーにとって恒常的な脆弱点となっている現実を改めて浮き彫りにした。Trezorは影響を受けた物流パートナーをShipMonkと特定し、Amazon経由で購入した顧客は別のフルフィルメント体制を利用しているため本件の対象外であると説明している。同社にとって、顧客の電話番号や配送先住所が関与するインシデントは13年の歴史で初めてであり、デバイスファームウェアや暗号学的保護機構がリモートから侵害された事実はないとしている。ハードウェアウォレット業界では類似のサプライチェーン攻撃パターンがこれまでも確認されており、競合ウォレットプロバイダーLedgerのECパートナーであるGlobal-eが関与した1月のインシデントや、それ以前にサードパーティのマーケティング・サポートプラットフォームで氏名やメールアドレスが流出した事例もある。今回の件はブロックチェーンプロトコルの障害でもアルゴリズム型ステーブルコインのデペグでもエアドロップのexploitでもないが、流出した個人データは長年にわたり悪用可能であり、反復攻撃の温床となるため、セキュリティ上の影響は軽視できない。

Trezorが示した対応タイムラインは、封じ込め措置の全体像を最も明確に示している。同社によると、ShipMonkからシステムへの不正アクセスが発生したとの報告を受けたのは8月10日であり、現在も調査は継続中だ。影響データは主に2026年5月10日から8月8日の間に出荷された新規顧客注文をカバーし、部分的な記録を含む小規模なサブセットにはそれ以前の注文が含まれる可能性があるが、正確な期間はまだ検証中とされている。影響を受けた顧客には公式アドレスhelp@trezor.ioから通知メールが送信されており、通知が届かないユーザーは影響を受けていないことを意味する。Trezorはハードウェアデバイス自体の安全性を改めて強調するとともに、電話・メール・SMS・郵便を介したなりすましへの警戒を呼びかけている。本件はビットコインの過去最高値に関連する価格カタリストではないが、セルフカストディサービスに対する運用上の信頼基準を引き上げる事案である。是正策として、専用チェックアウト・ロッカー受取・無地梱包を組み合わせた匿名配送モデルの導入が計画されており、製品配送と識別可能な所有権の分離を目指す。

COINOTAGの分析では、今回の一連の事象は一つのテーマに集約される。ビットコインエコシステムのセキュリティ境界は、もはや暗号技術の枠にとどまらず、物流やアイデンティティ管理にまで拡張しているということだ。公式インシデント報告は根本原因をShipMonkへの不正アクセスと特定しており、Trezorデバイス自体の欠陥ではない。是正措置には顧客通知、90日間でのデータ削除、匿名配送の導入計画が含まれる。オンチェーン上では、今回の情報開示に関連する資金の流出や攻撃者のトランザクションは確認されていない。秘密鍵やリカバリーシードが流出していないためだ。残存する脅威はソーシャルエンジニアリングである。事後検証(ポストモーテム)が完了するまで、影響を受けたユーザーは予期しないサポートメッセージをデフォルトで敵対的と見なし、ウォレットバックアップをいかなるウェブサイト・電話・郵便フォームにも送信すべきではない。