Trezor 外洩增至 8 萬人 物流商書面保證刪了資料

由 13,689 人變成 80,689 人

硬件錢包生產商 Trezor 在 9 月 4 日更新了物流商 ShipMonk 的資料外洩事件：再有約 67,000 名美國客戶的訂單資料完全外洩，令已確認受影響的人數由原本的 13,689 名，增加至約 80,689 名。

新一批受影響的，是 2019 年 11 月至 2021 年 8 月期間下單的美國買家。外洩的欄位包括姓名、電郵地址、電話號碼、送貨地址與訂單編號。換言之，最舊的一批紀錄已經接近七年。

「已經刪除」，是書面給的

這件事真正難堪的地方，不在人數，而在 Trezor 自己披露的一句話。

Trezor 說，在雙方合作期間，公司多次要求 ShipMonk 刪除這批舊訂單資料，而 ShipMonk 也按合約、資料政策與過往的往來紀錄，多次以書面確認資料已經移除。結果資料一直留在 ShipMonk 的系統裡，直到被人取走。

Trezor 在公布中說，對於在收到這些確認之後資料仍然沒有被刪除，公司感到非常失望。截至報道時，ShipMonk 未有就今次的更新作出回應。

事件的時間線

首次公布的 13,689 人之中，11,742 人外洩了姓名、電郵、電話與送貨地址，另有 1,947 人外洩了姓名、城市與電郵地址。

錢包沒有失守，但住址已經流出

需要說清楚的是：外洩的是購物紀錄，不是錢包資料。Trezor 強調自身系統沒有被入侵，硬件錢包的安全性不受影響，私鑰與助記詞從來不會經過物流商。

問題在於這批資料的性質。一份名單同時載明「這個人買過硬件錢包」與「他住在哪裡」，對持有加密貨幣的人來說，風險就不再只是收到釣魚電郵那麼簡單。Trezor 因此在通知中同時提醒客戶提防詐騙電郵、假冒來電與信件，並明確提到人身安全風險。

公司表示已經直接電郵通知所有受影響的客戶。對 2019 年下過單而早已忘記這回事的人來說，那封電郵可能是他們唯一的提示。

來源

• Trezor says ShipMonk breach affected another 67,000 customers（The Block）
• 67,000 More Trezor Customers Exposed as Data Breach Widens（Decrypt）