Trezorは、物流業者ShipMonkへの侵害により、米国の顧客約6万7000人分の連絡先情報と注文データが新たに流出したと明らかにした。今回の判明で、当初は1万3689人に影響したと公表していたインシデントの規模が拡大した。新たに確認された記録は、2019年11月から2021年8月までに行われた注文に関するもので、氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれる。公表された2つの顧客群を合わせると、影響を受けた顧客は約8万689人となるが、Trezorは統合した人数や、両グループに重複があるかを示す基礎データを公表していない。これらの記録は、Trezorが90日間の配送データ保管方針に基づき削除したと書面で繰り返し確認していたにもかかわらず、ShipMonkに残されていた。今回の侵害でTrezorのウォレットシステム、端末、リカバリーシード、秘密鍵、顧客資金が影響を受けたわけではない。ただ、個人の身元、所在地、ハードウェアウォレットの購入情報が組み合わさることで、フィッシングや詐欺、物理的な襲撃の標的にされる可能性がある。BleepingComputerの報道によると、ShipMonkの通知は、最初の不正アクセスについて、Metabaseの脆弱性が原因だったとしている。8月に確認されたMetabaseのゼロデイ脆弱性により、管理者に紐づくセッションの取得や、テーブルの一括ダウンロードが可能になった可能性がある。Trezorは、新たに影響を受けた顧客全員にメールを送付し、ウォレットのバックアップを決して共有したり、ウェブサイトに入力したりしないよう注意喚起した。