物流商遭骇连累！冷钱包 Trezor 全球 1.4 万名用户个资全外泄

币圈资安再亮红灯！知名冷钱包大厂 Trezor 周四证实，由于合作物流商 ShipMonk 系统遭骇客入侵，导致近 1.4 万名客户的机密个资遭外泄。

根据 Trezor 的说法，共计有 11,742 名客户的姓名、电子邮件、电话号码与收件地址已全数外流；此外，另有 1,947 名客户的姓名、居住城市及电邮也遭泄漏。受灾户总计近 1.4 万人，横跨美国、英国、瑞典、哥伦比亚、巴西、义大利与葡萄牙等多国。

Trezor 周四透过社群平台 X 发文指出：「我们必须宣布一个沉重的消息。遗憾的是，我们的物流供应商爆发资料外泄事件，导致客户的订单资讯遭曝光。」

这起牵扯 Trezor 的骇客事件并非特例。美国资安公司 SentinelOne 指出，全球资料外泄事件正处于历史高点。数据显示，2026 年资料外泄案件较往年激增 17%，全球每周平均遭受 2,090 起攻击；且自今年 1 月起，全球资料外泄事件更是以每月 3% 的速度急遽攀升。

Trezor 表示，公司已透过电邮紧急通知所有受影响的客户；若用户未收到信件，即代表个资安全无虞。 Trezor 向外媒强调，目前尚未发现外泄个资遭公开、散布或兜售的迹象，也暂无与这起事件相关的诈骗或骇客攻击通报。

此外，透过亚马逊（Amazon）购买产品的消费者完全不受影响，因平台物流由另一家独立合作伙伴负责。

Trezor 重申，公司自身的内部系统并未遭骇，加密货币钱包装置仍然安全。然而，潜在的「间接风险」却不容忽视，受害客户未来很可能成为网路钓鱼攻击的目标，犯罪集团可能透过电子邮件、电话甚至实体邮件发动攻击，并利用已掌握的个人资料冒充银行、加密货币交易所或 Trezor，诱骗受害者提供密码、私钥或其他敏感资讯。

用户个资一旦外流，风险往往不会随著事件落幕而消失。受害者可能在数年内持续面临针对性诈骗，尤其当物流纪录被出售或公开后，骇客可以反复利用这些资讯设计新的诈骗手法。 过去就曾发生勒索者利用住家地址，向受害者勒索 700 至 1,000 美元，甚至直接将植入恶意程式的「假冷钱包」邮寄到府，试图进一步窃取资产。

更令人担忧的是，持币者面临的「人身安全威胁」正急遽升温。区块链安全机构 Certik 统计，光是今年上半年，面对面的胁迫抢案损失金额就高达 1.24 亿美元；资安公司 DeepStrike 更估算，全球每年因资料外泄导致的财务损失，规模高达数百亿美元。

Trezor 坦言，这是公司成立 13 年来，首度发生客户电话与收件地址遭泄的重大事故。然而，翻开历史纪录，Trezor 母公司 Satoshi Labs 在今年 1 月就曾因第三方客服系统遭骇，导致 6.6 万人受害；2022 年 4 月亦有超过 10 万名客户个资曝光。不过值得庆幸的是，Trezor 内建的韧体与装置端的密码学防护，至今从未被远端攻破。

事实上，这类供应链资安危机在币圈屡见不鲜。另一家冷钱包巨擘 Ledger 今年 1 月也曾因第三方电商伙伴 Global-e 的漏洞而爆发资料外泄。早在 2020 年，Ledger 就经历过波及近 30 万名用户的超大规模灾情；隔年，诈骗集团更精准锁定这群受害者，寄送伪造的 Ledger 冷钱包进行二度钓鱼诈骗，让投资人防不胜防。