錢包沒有被攻破，地址卻洩了：Trezor事件暴露實體安全盲區

硬件钱包厂商Trezor在8月13日披露，一家物流服务商遭到入侵，导致13689名客户的订单信息泄露。 其中11742人的姓名、邮箱、电话号码和完整收货地址被暴露，另有1947人的姓名、城市和邮箱被暴露。 受影响的是美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙在5月10日至8月8日期间收到订单的用户。

Trezor強調，自家系統和設備沒有被攻破，用戶私鑰與硬體錢包仍然安全。 這一點在技術上很重要，卻不能讓事件變得無害。 對普通電商客戶來說，地址洩漏意味著騷擾和詐騙；對公開持有硬體錢包的人來說，它還可能把真實身份、住址和「可能持有加密資產」三個資訊綁定在一起，風險從網路釣魚延伸到現實世界。

攻击者不需要破解芯片，也不需要找到助记词。 只要知道某個人剛買了Trezor、住在哪裡、電話和信箱是什麼，就能製作極具針對性的郵件、電話和紙本信件，冒充錢包廠商、銀行或交易所。 受害者看到自己的订单细节时，更容易相信对方确实掌握账户信息。 钱包本身越安全，攻击者越可能绕过设备，直接攻击持有设备的人。

供應鏈保存的不是包裹訊息，而是一張資產線索表

根據Trezor與安全媒體揭露，事件發生在第三方履約服務提供者ShipMonk。 ShipMonk在8月10日告知Trezor其係統遭到未授權存取；進一步通知顯示，攻擊者利用第三方分析平台Metabase的漏洞存取客戶資料。 也就是說，資料從皮夾廠商流向物流商，再進入分析工具，攻擊面隨著每一層服務擴展。

物流公司當然需要姓名和地址才能送貨，但它未必需要長期保留完整訂單、電話號碼和產品類別；分析平台也未必需要看到可直接識別個人的信息。 便利的營運報表會推動企業把更多欄位集中到同一系統，而對加密硬體客戶而言，產品名稱本身就是敏感標籤。 傳統電商把它視為訂單屬性，但攻擊者可能把它視為潛在資產持有者名單。

這不是硬體錢包產業第一次遇到類似問題。 Ledger在2020年的電商和行銷資料庫洩露超過100萬個郵箱，以及近萬名客戶的詳細聯絡訊息，隨後出現針對用戶的釣魚和威脅。 Trezor在2024年也曾因第三方客服工單平台被訪問，導致約6.6萬名與客服互動過的用戶可能洩露姓名、用戶名和郵箱。 重複發生的共同點是：私鑰安全體係做得很強，銷售、客服與物流資料卻沿用一般網路公司的處理方式。

這次事件沒有證據顯示資金被直接盜走，也不能把所有購買者都視為高淨值持幣者。 但安全模型不能只計算已經發生的鏈上損失。 地址、電話和設備品牌可以在多年後繼續被利用，資料無法像密碼一樣統一重設。 攻擊者也可能把洩漏資訊與社群媒體、公開鏈上地址或其他資料集拼接，逐步提高目標畫像的準確度。

真正的冷存儲，應當從下單那一刻開始

對廠商而言，第一步不是重複強調“設備安全”，而是把訂單資料當成高敏感資訊。 可以縮短保存期限、將產品類別與身分資訊分開、向物流商只提供完成配送所需的最少字段，並要求第三方系統對匯出、查詢和管理員訪問留下完整審計。 分析需求應優先使用去識別化數據，而不是把所有客戶資訊複製進通用商業智慧平台。

厂商还应让用户更容易采用隐私配送方案，例如自提点、邮政信箱或不显示具体产品的包装与账单描述。 发生泄露后，通知不能只说“注意钓鱼”，还要明确受影响字段、时间范围、可能出现的攻击方式，以及官方永远不会索取助记词或要求转移资产。 資訊越具體，用戶越能辨識騙局。

對使用者來說，硬體錢包沒有被破解不等於可以忽略警報。 任何聲稱需要輸入助記詞、恢復錢包、遠端驗證設備或把幣轉入「安全地址」的訊息都應被視為詐騙。 收到涉及Trezor的電話和郵件時，應自行輸入官網地址或透過已知管道聯繫支持，不要點擊訊息裡的連結。 若完整住址已暴露，也應提高對異常包裹、上門推銷和身分冒用的警覺。

硬體錢包的賣點是把私鑰從連網設備隔離出來，但一次購買會在支付商、倉庫、物流、客服和分析平台留下長長的資料軌跡。 只保護晶片，卻讓客戶身分沿著供應鏈裸奔，並不能構成完整的自託管安全。 Trezor事件沒有推翻硬體錢包的價值，反而把它的下一道防線說得更清楚：真正的冷存儲，不只要隔離私鑰，也要盡量隔離「誰擁有它」這件事。