Trezor硬件钱包客户数据因物流商ShipMonk遭泄露：近1.4万人姓名、地址、电话及邮箱外泄

加密货币硬件钱包厂商Trezor于8月13日发布公告，披露其物流合作伙伴ShipMonk遭遇数据泄露事件，这是该公司自2013年成立以来首次有客户电话和收货地址同时外泄。事件起因并非Trezor系统被攻破，而是ShipMonk存储客户订单数据的系统遭未授权访问，攻击者利用了第三方分析平台Metabase的一个SQL注入零日漏洞获取管理员权限，该漏洞此前还波及笔记本电脑厂商Framework和表单工具Tally，显示这是一场针对Metabase供应链的系统性攻击。

受影响的客户包括美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙七个国家，涉及2026年5月10日至8月8日期间发货的订单，共11,742名客户姓名、邮箱、电话和收货地址被完全暴露，另有1,947名客户姓名、所在城市和邮箱部分泄露，合计约1.37万人。得益于Trezor严格的90天数据留存政策，泄露范围被限制在近三个月订单内，否则影响可能更大。

Trezor强调其自身基础设施、固件和硬件钱包均未受影响，用户私钥和资产依然安全，但公司警告受影响客户可能面临更复杂的网络钓鱼攻击，诈骗者可利用泄露信息冒充银行、加密货币交易所甚至Trezor本人。截至目前尚未出现因本次泄露引发的实际诈骗或人身安全事件。

此次泄露正值加密货币持有者日益成为线上攻击和线下暴力犯罪目标之际，Chainalysis数据显示2026年上半年全球已记录46起涉加密暴力事件，高于上年同期的40起，其中绑架占52%。这也是两周内第二起针对硬件钱包持有者的安全事件，此前Coldcard钱包因私钥生成缺陷被盗逾1亿美元。

作为应对，Trezor正加速开发匿名配送服务，通过专属结账流程、储物柜取件、无标识包装和配送数据自动删除等方式切断购买与真实身份的关联，该服务计划2026年9月在欧盟上线、年底覆盖美国，同时建议用户警惕一切主动联系、切勿在网站上输入钱包恢复短语。