Trezor 外洩再擴大：67,000 名美國買家住址曝光
硬體錢包把私鑰放在離線裝置裡，買的人最在意的往往就是不被人知道自己有加密貨幣。Trezor 的出貨交給第三方物流商 ShipMonk 處理，對方手上會留下姓名、電話、電子郵件與收件地址。Trezor 的合約要求送達後 90 天內刪除或去識別化，也拿過對方的書面刪除保證。8 月 10 日，ShipMonk 通知系統遭到未授權存取。
9 月 4 日 Trezor 公告，ShipMonk 兩天前才告知外洩範圍還包含 2019 年 11 月到 2021 年 8 月的舊訂單，另有約 67,000 名美國客戶的完整資料曝光，累計超過 80,000 人，是 8 月首次揭露的 13,689 人的六倍。裝置、私鑰與備份沒有受影響。Trezor 提醒收件地址外流可能帶來實體風險，匿名寄送歐盟 9 月上線、美國年底跟上。
硬體錢包把私鑰存在不連網的裝置裡，Trezor 是最老牌的品牌之一。這類公司最脆弱的地方常常不在裝置，而在外包出去的環節。出貨名單留在物流商手上，行銷信的寄件權限握在電子郵件平台手上。9 月 9 日 Trezor 先警告過，標題寫「STM32 Entropy Vulnerability」的信不是他們寄的，但沒有交代供應商是誰，名單有多大。
9 月 10 日 Trezor 發文點名供應商是行銷郵件平台 Brevo。攻擊者存取了 120 個 Brevo 客戶帳號，再用其中幾個向客戶名單群發釣魚信，Trezor 約 34.7 萬個訂閱信箱地址可能外流，裝置、金鑰與錢包備份沒有受影響。釣魚網域在 20 分鐘內被停掉，點進連結的約 2,500 人。同一天 CoinTracking 與 BitBox 也說客戶收到同款信。
- Trezor第三方電子郵件供應商 Brevo 的資安事件說明
- The RegisterTrezor 與 BitBox 使用者遭電子報釣魚信鎖定
- The Record多家加密貨幣公司警告客戶收到釣魚信，疑似供應商被入侵
- Pierson-Tech：「危險的地方在於這封釣魚信是從合法的行銷帳號與網域寄出的，這會繞過使用者大部分的懷疑。第三方電子郵件平台需要跟核心系統一樣的多因素驗證、最小權限、告警與事故處理手冊。」
- International Cyber Digest：「Trezor 的電子郵件供應商被入侵。客戶收到的不是偽造寄件人的信，它是真的，只是不是真公司寄的。這件事緊接在他們物流商的外洩之後，那次有 8 萬多名客戶資料曝光。」
- Crypto Bitlord：「我講這件事已經講了一段時間。自我保管已經不安全了，駭客、詐騙、釣魚與扳手攻擊沒完沒了。挑一家大而知名、值得信任的交易所放你的資金，我認為更安全也更好管理。」
硬體錢包把私鑰放在不連網的裝置裡，Trezor 是最老牌的品牌之一。這類公司真正的弱點常常不在裝置，而在外包出去的環節。出貨交給物流商，行銷信交給電子郵件供應商，兩邊都握有客戶名單，也握有一條使用者信得過的溝通管道。8 月物流商 ShipMonk 外洩，已經讓超過 8 萬名買家的姓名與地址落到外人手上。
9 月 9 日 Trezor 公告，第三方電子郵件供應商遭入侵，標題寫「STM32 Entropy Vulnerability」的信不是他們寄的。那封信謊稱裝置晶片有嚴重瑕疵，每四台就有一台的錢包備份亂數不足，要收信人點連結確認。信從官方網域寄出，收件匣裡看不出破綻。Trezor 說已停用該網域，正在追查駭客怎麼碰到合法網域，裝置、金鑰與備份沒有外洩。
- FatMan：「真的很殘忍。這封釣魚信寫得相當有說服力，而且是從 Trezor 官方網域寄出的。至少會損失數千萬美元，希望不會到數億。Trezor 的離譜疏失。」
- Rob Hamilton：「剛剛那封 Trezor 的信是假的，不要理會它。」
- Gareth Jenkinson：「Trezor 使用者請注意，如果收到標題是『Critical Security Alert: STM32 Entropy Vulnerability』的 Trezor 來信，那是惡意郵件。信裡有一個釣魚連結，小心。」
- Nicholas Hall：「我正在調查 Trezor 這起事件。如果你收到 Trezor 釣魚信或因此損失數位資產，請寄信給我。」
- Efrat Fenigson：「請注意，我也收到這封信，看出是釣魚，所以沒有點下去。」