Trezor 物流商 ShipMonk 遭黑客攻击，13689 名客户个人信息泄露，包括家庭住址。

Trezor 硬件钱包制造商的物流合作伙伴 ShipMonk 遭到黑客攻击，导致七个国家共 13,689 名 Trezor 客户的个人信息泄露。其中，11,742 人的姓名、电子邮件地址、电话号码及收货地址全部遭到泄露，另有 1,947 人的姓名、所在城市及电子邮件地址被泄露。ShipMonk 于 8 月 10 日披露了此次入侵事件。

ShipMonk 数据泄露范围：七国 13,689 名客户受影响

Trezor 在官方博客中表示，ShipMonk 于 8 月 10 日通报了其订单数据系统遭到入侵的情况。受影响的订单仅限于 5 月 10 日至 8 月 8 日期间发货的订单。Trezor 自身的基础设施未受影响，用户钱包的安全性也未受到影响。

受影响客户共 13,689 人，分布于美国、英国、瑞典、哥伦比亚、巴西、意大利及葡萄牙七个国家。其中，第一类共 11,742 人，其姓名、电子邮件地址、电话号码及收货地址均遭到泄露；第二类共 1,947 人，其姓名、所在城市及电子邮件地址被泄露。

由于 ShipMonk 的政策是在订单发货三个月后删除或匿名化订单记录，此次事件造成的影响有所减轻。通过亚马逊购买产品的客户不受影响，因为这类订单通过不同的物流渠道处理。

Metabase SQL 注入零日漏洞

ShipMonk 表示，攻击者利用其所使用的分析平台 Metabase 中的严重 SQL 注入零日漏洞，在取得管理员权限后访问了订单数据系统。

Metabase 已于 2026 年 8 月 6 日公开披露这一问题。同一攻击活动还波及其他公司，包括笔记本电脑制造商 Framework 和表单生成器 Tally。

ShinyHunters 勒索现状与 Chainalysis 暴力攻击数据

入侵事件发生后，ShipMonk 持续收到来自 ShinyHunters 组织的勒索邮件。Trezor 表示，目前没有证据表明被盗数据已经被发布、出售或用于任何诈骗活动。

此次事件是 Trezor 迄今遭遇的三起重大数据安全事件之一，也是首次导致客户电话号码和收货地址泄露的事件：

2022 年：攻击事件影响超过 106,000 名用户

2024 年 1 月：第三方支持门户网站遭到入侵，影响 66,000 名用户，但未涉及电话号码和收货地址

2026 年 8 月（本次事件）：ShipMonk 物流系统遭到入侵，导致 13,689 名客户的个人信息泄露，也是首次涉及电话号码和收货地址的事件

加密货币硬件钱包行业的数据泄露风险持续存在。Trezor 的主要竞争对手 Ledger 在 2020 年发生的数据泄露事件影响了数十万名用户。根据 Cryptopolitan 的报道，截至 2026 年 5 月，诈骗分子仍在向 Ledger 用户邮寄伪造的“量子抗性安全更新”信件，信中附有恶意二维码。Ledger 还于 2026 年 1 月披露了其支付处理商 Global-e 发生的另一起数据泄露事件。

犯罪分子已经开始利用泄露的个人数据选择绑架和入室抢劫目标，胁迫受害者交出加密货币。Chainalysis 的报告显示，2026 年上半年，暴力攻击造成的损失超过 3,000 万美元；2025 年全年损失为 5,800 万美元。

Trezor 的事后措施

Trezor 表示，已通过电子邮件通知所有受影响客户。该公司还公布了配送方案改革计划，将推出更加注重隐私的配送选项，具体措施包括提供包裹柜取件、采用中性包装，以及在送达后自动删除地址数据。

根据 Trezor 的公告，相关方案计划于 2026 年 9 月在欧盟地区推出，并于 2026 年底前在美国地区推出。

常见问题

此次 Trezor 数据泄露涉及哪些国家的客户？

根据 Trezor 官方说明，受影响客户分布于美国、英国、瑞典、哥伦比亚、巴西、意大利及葡萄牙七个国家，受影响订单涵盖 2026 年 5 月 10 日至 8 月 8 日期间发货的订单。

ShipMonk 数据泄露的技术根因是什么？

ShipMonk 表示，攻击者利用其所使用的分析平台 Metabase 中的严重 SQL 注入零日漏洞，在取得管理员权限后访问了订单数据系统。Metabase 已于 2026 年 8 月 6 日公开披露这一问题，同一漏洞还波及 Framework 和 Tally 等公司。

Trezor 是否有其他数据泄露的历史记录？

是。Trezor 此前曾发生两起重大数据安全事件：2022 年的攻击影响超过 106,000 名用户；2024 年 1 月，第三方支持门户网站遭到入侵，影响 66,000 名用户。本次 2026 年 8 月的事件是首次导致客户电话号码和收货地址泄露的事件。