Trezor 物流商被駭：1.4 萬名硬體錢包買家的住址電話外洩
硬體錢包是把私鑰離線保存的實體裝置，Trezor 是最老牌的品牌之一。這種裝置先天有個矛盾，本身不連網，但寄到家門口一定要留下姓名、電話與地址，物流商就握有這份名單。名單外流，等於告訴外人「這個地址的人手上有加密貨幣」。今年上半年全球已有 52 起針對持幣者的暴力搶案。
Trezor 8 月 13 日公布，物流商 ShipMonk 的系統遭到未授權存取，13,689 名客戶的訂單資料外洩，其中 11,742 人的姓名、電話、信箱與地址全被拿走，另外 1,947 人只外洩姓名、城市與信箱。受影響的是 5 月 10 日到 8 月 8 日之間在美國、英國、巴西等七國收貨的新客戶。Trezor 說自家系統、裝置與私鑰都沒被碰到，並把「匿名寄送」提前排進時程，歐盟九月、美國年底上線。
- Trezor運輸商資安事件導致近期客戶資料外洩
- The BlockTrezor 運輸商遭入侵，近 1.4 萬名客戶個資外洩
- DecryptTrezor 客戶資料在運輸夥伴的資安事件中曝光
- Trezor：「我們有些難以啟齒的消息要說。我們其中一家運輸合作夥伴發生資料外洩，敏感的訂單資料因此曝光。」
- Trezor：「我們正在開發匿名寄送選項，計畫九月前在歐盟就緒、年底前在美國就緒，讓你訂購硬體錢包時不必把購買紀錄綁上住家地址或真實身分。」
- Alex Gladstein：「災難。」
- Merlijn The Trader：「裝置本身是安全的。但擁有這些裝置的人，現在被列進了加密貨幣圈每一份釣魚名單。」
- wale.moca：「身為把主要加密貨幣持倉都放在 Trezor 上的使用者，讀到第一行的時候我差點心臟病發。」
- Nick O’Neill：「我愈來愈覺得，用硬體錢包這件事其實很蠢。」
- Blocktrainer：「德國、奧地利與瑞士的客戶並未受到影響，但接下來可以預期釣魚攻擊會變多。」
硬體錢包把私鑰存在不連網的裝置裡，Trezor 是最老牌的品牌之一。這類公司最脆弱的地方常常不在裝置，而在外包出去的環節。出貨名單留在物流商手上，行銷信的寄件權限握在電子郵件平台手上。9 月 9 日 Trezor 先警告過，標題寫「STM32 Entropy Vulnerability」的信不是他們寄的，但沒有交代供應商是誰，名單有多大。
9 月 10 日 Trezor 發文點名供應商是行銷郵件平台 Brevo。攻擊者存取了 120 個 Brevo 客戶帳號，再用其中幾個向客戶名單群發釣魚信，Trezor 約 34.7 萬個訂閱信箱地址可能外流，裝置、金鑰與錢包備份沒有受影響。釣魚網域在 20 分鐘內被停掉，點進連結的約 2,500 人。同一天 CoinTracking 與 BitBox 也說客戶收到同款信。
- Trezor第三方電子郵件供應商 Brevo 的資安事件說明
- The RegisterTrezor 與 BitBox 使用者遭電子報釣魚信鎖定
- The Record多家加密貨幣公司警告客戶收到釣魚信，疑似供應商被入侵
- Pierson-Tech：「危險的地方在於這封釣魚信是從合法的行銷帳號與網域寄出的，這會繞過使用者大部分的懷疑。第三方電子郵件平台需要跟核心系統一樣的多因素驗證、最小權限、告警與事故處理手冊。」
- International Cyber Digest：「Trezor 的電子郵件供應商被入侵。客戶收到的不是偽造寄件人的信，它是真的，只是不是真公司寄的。這件事緊接在他們物流商的外洩之後，那次有 8 萬多名客戶資料曝光。」
- Crypto Bitlord：「我講這件事已經講了一段時間。自我保管已經不安全了，駭客、詐騙、釣魚與扳手攻擊沒完沒了。挑一家大而知名、值得信任的交易所放你的資金，我認為更安全也更好管理。」
硬體錢包把私鑰放在不連網的裝置裡，Trezor 是最老牌的品牌之一。這類公司真正的弱點常常不在裝置，而在外包出去的環節。出貨交給物流商，行銷信交給電子郵件供應商，兩邊都握有客戶名單，也握有一條使用者信得過的溝通管道。8 月物流商 ShipMonk 外洩，已經讓超過 8 萬名買家的姓名與地址落到外人手上。
9 月 9 日 Trezor 公告，第三方電子郵件供應商遭入侵，標題寫「STM32 Entropy Vulnerability」的信不是他們寄的。那封信謊稱裝置晶片有嚴重瑕疵，每四台就有一台的錢包備份亂數不足，要收信人點連結確認。信從官方網域寄出，收件匣裡看不出破綻。Trezor 說已停用該網域，正在追查駭客怎麼碰到合法網域，裝置、金鑰與備份沒有外洩。
- FatMan：「真的很殘忍。這封釣魚信寫得相當有說服力，而且是從 Trezor 官方網域寄出的。至少會損失數千萬美元，希望不會到數億。Trezor 的離譜疏失。」
- Rob Hamilton：「剛剛那封 Trezor 的信是假的，不要理會它。」
- Gareth Jenkinson：「Trezor 使用者請注意，如果收到標題是『Critical Security Alert: STM32 Entropy Vulnerability』的 Trezor 來信，那是惡意郵件。信裡有一個釣魚連結，小心。」
- Nicholas Hall：「我正在調查 Trezor 這起事件。如果你收到 Trezor 釣魚信或因此損失數位資產，請寄信給我。」
- Efrat Fenigson：「請注意，我也收到這封信，看出是釣魚，所以沒有點下去。」