Trezor 数据泄露：您需要了解的一切

硬件钱包制造商 Trezor 证实，其运输合作伙伴 ShipMonk 的漏洞泄露了 13,689 名客户的个人数据，包括姓名、电话号码、电子邮件地址和家庭住址。 

Trezor 表示，自己的系统、设备和私钥没有受到影响，但泄露的联系方式使受影响的买家面临更高的网络钓鱼风险。

Trezor 数据泄露事件中发生了什么？

2026 年 8 月 10 日星期一，Trezor 的物流提供商之一 ShipMonk 告诉 Trezor，未经授权的一方已访问保存客户订单数据的系统。特雷佐在周四发表的一篇博客文章中公开披露了这一事件。

该公司表示，此次违规行为影响了美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙的新客户，这些客户是在 2026 年 5 月 10 日至 8 月 8 日期间收到订单的。

哪些信息被曝光？

ShipMonk 存储运送包裹所需的详细信息，例如客户姓名、地址、电话号码和电子邮件。 Trezor 将风险分为两类：

• 11,742 名客户 拥有完整的信息：全名、送货地址、电话号码和电子邮件地址。
• 1,947 名客户 部分曝光：仅姓名、城市和电子邮件地址。

为什么此次泄露仅限于 13,689 名客户？

Trezor 强制执行 90 天的数据保留政策，并要求履行合作伙伴遵循相同的规则。在泄露发生之前，任何超过 90 天的订单数据都已被删除或匿名化，这就是为什么曝光仅限于大约 13,700 人，而不是覆盖 Trezor 的完整客户历史记录。

ShipMonk 突破是如何发生的？

ShipMonk 告诉受影响的客户，攻击者利用了其使用的第三方分析平台 Metabase 中的漏洞。 Metabase 表示，该漏洞是一个关键的 SQL 注入零日漏洞，可让攻击者获得对客户实例的管理员访问权限并窃取数据。同样的 Metabase 缺陷也影响了笔记本电脑制造商 Framework 和在线表单生成器 Tally。据 BleepingComputer 报道，ShipMonk 还收到了来自 ShinyHunters 组织的勒索电子邮件。

这是 Trezor 的第一次数据泄露吗？

不会。Trezor 在 2024 年 1 月披露了一次较早的漏洞，当时攻击者访问了其第三方支持票务门户。该事件暴露了自 2021 年 12 月以来联系过 Trezor 支持的约 66,000 名用户的姓名、用户名和电子邮件地址。 

攻击者后来利用窃取的数据进行网络钓鱼攻击，试图诱骗人们泄露他们的 24 字恢复种子。

受影响的 Trezor 客户应该做什么？

保护自己免受网络钓鱼

• 对任何需要采取紧急行动或要求提供个人详细信息的消息持怀疑态度。
• 根据 Trezor 的官方博客和社交渠道检查电子邮件和网站。
• 切勿将您的钱包备份（助记词）输入网站或与任何人分享。

未来更多私下订购

• 订购时使用与您的真实身份无关的电子邮件地址。
• 使用加密货币或一次性数字卡而不是普通信用卡支付。
• 使用邮政信箱尽可能限制地址暴露的框。

Trezor 还宣布即将推出匿名投递选项，该选项将使用专用结账、储物柜取货、中性包装和通用发件人详细信息，然后在投递后删除运输标识符。预计将于 2026 年 9 月在 EU 推出，并于 2026 年底在美国推出。

结论

在其运输合作伙伴 ShipMonk 通过 Metabase 漏洞遭到黑客攻击后，Trezor 数据泄露事件暴露了 13,689 名客户的姓名、地址、电话号码和电子邮件。 Trezor 的设备和系统保持安全，其 90 天数据保留政策限制了泄漏范围，并且该公司正在推出匿名交付选项以减少未来的暴露。

资源

1. 特雷佐的报告r：最近在运输提供商事件中暴露的客户数据

2. BleepingComputer 的报告：Trezor 披露数据泄露影响近 14,000 名客户