Trezor确认ShipMonk数据泄露扩大：新增约6.7万美国客户，累计受影响人数超8万

首次披露中，11,742名客户为完整外泄（姓名、邮箱、电话、配送地址），1,947名为部分外泄（姓名、城市、邮箱），订单区间为2026年5月10日至8月8日，覆盖美国、英国、瑞典、哥伦比亚、巴西、意大利、葡萄牙七国。

最新进展直接冲击Trezor用来界定泄露范围的90天留存政策。该公司要求履约合作方在交付后90天删除或匿名化订单数据，并称曾多次要求并获得ShipMonk已删除旧数据的书面确认，但这些数据仍留在ShipMonk系统中，显示留存要求并未真正落地。

攻击入口不在Trezor也不在ShipMonk自身：ShipMonk称攻击者利用了第三方分析平台Metabase的漏洞，Metabase于8月6日通知其未授权方借此访问了账户与客户数据，后续报道将该活动与一个可获取管理员权限的SQL注入零日漏洞相关联，ShinyHunters亦向ShipMonk发出过勒索邮件。

Trezor强调其系统未被入侵、设备与钱包备份安全、包裹内容未外泄，但警告家庭住址与电话的外泄叠加硬件钱包购买记录，除带来高可信度钓鱼外还可能造成人身安全风险。公司正推进Anonymous Delivery选项，采用快递柜自提、中性包装与交付后自动删除配送标识，计划2026年9月在欧盟、年底前在美国上线。