Trezor 于周四证实，其一家物流合作伙伴遭遇数据泄露，导致 13,689 名客户的个人信息被曝光。被泄露信息包括姓名、家庭住址、电话号码及电子邮箱。
加密资产本身并未受到波及。Trezor 表示，其自身系统、设备及用户钱包备份均未遭入侵，安全事件源自外部供应商。
Trezor 数据泄露事件暴露了哪些信息？
负责存储和发货 Trezor 订单的 ShipMonk 于 8 月 10 日通知 Trezor，有黑客入侵了存有客户记录的系统。
这次数据泄露主要分为两类：其中 11,742 名受影响买家，姓名、邮箱、手机号和完整收货地址全部泄漏；另有 1,947 人，仅被泄露了姓名、城市及邮箱。
此次事件涉及的订单包括今年 5 月 10 日至 8 月 8 日期间，在美国、英国、瑞典、哥伦比亚、巴西、意大利及葡萄牙送达的相关客户。
更早的订单客户未受影响。Trezor 要求第三方合作伙伴在订单交付后 90 天内删除或匿名化订单数据，因此更早的配送信息已被清除。
判断自己是否受影响有一个简单方法：Trezor 已通过 [email protected] 邮箱向受影响客户发送邮件。如未收到该邮件，则无需担忧信息被泄露。
值得注意的是，ShipMonk 持有 SOC 2 Type II 审计安全认证，但依然遭遇本次安全漏洞。
为何泄露地址比泄露邮箱更具风险？
单独的电子邮箱对诈骗分子用处有限，但若配合姓名、家庭住址及电话，便可精准锁定某位用户曾购买加密硬件产品。
Trezor 公开警示了潜在风险：不法分子可能发送钓鱼邮件、制造虚假来电、寄送诈骗信函，或冒充银行、交易所、甚至 Trezor 自身进行欺诈。
类似事件曾有前例。例如 Ledger 在 2020 年 7 月曾泄露约 100 万用户邮箱，其中 9,500 名用户连同完整邮寄信息被暴露。此后，这些用户甚至在数年后仍收到伪造的恢复助记词信件，企图骗取资产（参考案例）。
从规模来看，Trezor 此次完整地址泄露的用户人数已达 11,742 人，远超 Ledger 2020 年事件所波及的 9,500 名用户。
Ledger 首席执行官 Pascal Gauthier 在 2020 年时曾回应类似担忧，其核心观点至今依然适用。
“泄露的数据无法与您钱包中的加密资产直接关联。”——Ledger 官宣内容节选，点击阅读原文。
攻击者早已将该品牌盯上。就在本次披露事件发生前数日，Trezor 相关钓鱼广告已经出现。与此同时，假冒客服电话诈骗今年也让无数加密资产持有者损失惨重，金额高达数百万美元。
第三方服务商依然是安全链条中的薄弱环节。例如，Ledger 付款服务商泄漏事件，今年 1 月曾导致用户订单数据曝光。
Trezor 用户该如何保障自身安全？
当前，最有效的建议简明且实用——凡是紧急通知，都要高度警惕。遇到任何异常情况，务必通过 Trezor 官方渠道进行核实。切勿在任何网站输入钱包助记词或备份信息。
“切勿在任何网站输入或者与他人分享你的钱包备份。”Trezor 在官方博客中再次强调。
养成两项习惯，可进一步降低风险：第一，下单时尽量使用未绑定真实姓名的邮箱；第二，在支持的情况下优先选择加密货币支付。
Trezor 还承诺将推出匿名配送选项，支持提货柜自助领取及中性包装。该服务计划于 9 月率先落地欧盟，2026 年底前登陆美国市场。
Trezor 表示，这是自 2013 年以来，首次发生涉及客户电话号码和收货地址的信息泄露。但硬件本身安全性并未受影响，真正的漏洞从来不是钱包本体，而是它抵达用户手中的快递箱。
