Trezor、Bitcoin (BTC)ウォレット顧客6万7,000人分の追加情報漏えいを発表

Trezor、追加6万7,000件の流出を公表

Bitcoin(BTC)などをオフラインのコールドウォレットで保管するハードウェアウォレット大手のTrezorが金曜日、配送委託先で発生した情報漏えいにより、米国の顧客約6万7,000人分の個人情報が新たに流出していたと発表した。これにより今回のインシデントの全体規模は8万件を超えることになる。新たに判明した対象は2019年11月から2021年8月までの注文分で、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれている。事件の中心にある物流代行業者ShipMonkは9月2日、漏えい範囲が当初の報告より大幅に大きいとTrezorに通知した。Trezorの最初の開示は8月13日で、今年5月から8月の注文分として1万3,689人(うち完全な連絡先情報を含むのは1万1,742人)を公表していた。両社は合算数値を出していないが、2回の開示を合わせると潜在的な影響は8万人の大台を超える。注目すべきは、Trezorによればこの古いデータはそもそも存在してはいなかったはずだという点だ。同社はデータ削除を繰り返し求め、書面での確認も受け取っていたという。Trezorは自社システムは侵害されておらず、秘密鍵とウォレットのバックアップは影響を受けていないことを強調する。同社が警戒を呼びかけるリスクはなりすましと物理的安全への脅威だ。自宅住所が流出項目に含まれるため、詐欺師が銀行、暗号資産取引所、さらにはTrezor本体を装った標的型フィッシングを仕掛ける恐れがある。同社によると、2013年の創業以来、電話番号と配送先住所が顧客情報として流出したのは今回が初めてだが、2024年1月にはサポートデスク関連のインシデントで約6万6,000人のユーザーがフィッシングのリスクにさらされていた。

削除の約束は履行されていなかった

先月の最初の開示時、Trezorは委託先が従うべき90日間のデータ保持ポリシーを根拠に、古い顧客データは消去済みで被害は限定的だと説明していた。しかし同社が今回明らかにしたところによれば、このポリシーは実際には一度も強制されておらず、データはShipMonkのシステムから削除されないまま残っていた。同社は公式Xアカウントへの投稿で影響を受けた顧客に謝罪し、「心より申し訳ない」と述べ、事態を重く受け止めているとしている。Trezorの説明では、ShipMonkとの取引期間を通じて、契約とデータポリシーに沿った削除完了の書面確認を繰り返し受け取っており、さらなる漏えいを「予期する理由はなかった」という。ShipMonkが最初にインシデントを通知したのは8月10日で、直近90日分の注文に関する漏えいと説明。9月2日になってその範囲を2019年から2021年に引き延ばした。Trezorは、当初の範囲設定の際に初期の取引時期の協力関係が見落とされたと理解しているとする。ShipMonkへの対応方針の決定にはまだ時期尚早としつつ、同社はこの配送委託先への追加監査の手配を進めている。また、購入者が個人情報をより守れるよう、匿名配送の導入にも取り組んでいる。特筆すべきは、Trezorが今回はメディアへの先回りの説明を行わなかった点だ。理由として、実際に影響を受けた人々への連絡を優先したと述べている。この一連の経緯は、暗号資産の枠をはるかに超えたベンダーリスク問題を浮き彫りにする。2024年のCrowdStrikeの大規模障害は、単一のサプライヤーの失敗が数百万のエンドポイントに波及しうることを示した。プライバシーを重視するユーザーが、ゼロ知識プライバシーレイヤーから匿名配送まで、さまざまな手段へ流れる可能性もある。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

謝罪https://x.com/Trezor/status/2095807665603584085?s=20

ここで判断の基軸になる文書はTrezor自身の開示だ。そこには、繰り返し受け取った削除確認が実際には事実と異なっていたと明記されている。私たちの読みはこうだ。これは暗号技術の失敗ではなく、サプライチェーンにおけるデータガバナンスの失敗である。秘密鍵には一切触れておらず、ハードウェアデバイスは依然としてBitcoin(BTC)を保管する最も安全な手段だ。だが、漏えいした住所と電話番号は、説得力のあるフィッシングの原料そのものだ。今後の試金石は実行力にある。約束されたShipMonk監査と匿名配送の展開が、Trezorが委託先の監視を物流上の細部ではなくセキュリティ機能として扱うかどうかを示すだろう。影響を受けたユーザーは、いかなるウェブサイトにもウォレットのバックアップを入力せず、誰とも共有してはならない。