硬件钱包厂商Trezor于2026年8月13日发布公告，披露一起涉及约1.37万名客户的数据泄露事件。此次泄露并非由于Trezor自身系统被攻破，而是其物流合作伙伴ShipMonk的第三方分析平台Metabase存在SQL注入漏洞，导致攻击者获取了管理员权限。受影响的订单覆盖美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙七个国家，发货时间介于2026年5月10日至8月8日之间。
据Trezor说明，泄露数据分为两类：完全暴露的有11742名客户的姓名、邮箱、电话号码及收货地址；部分暴露的则有1947名客户的姓名、所在城市和邮箱。合计约13689人受影响。通过亚马逊渠道购买的用户不受影响，因为该渠道使用了另一套履约系统。
值得注意的是，Metabase的这一漏洞此前已波及笔记本电脑厂商Framework和表单工具Tally，表明这是针对Metabase供应链的系统性攻击，而非专门针对Trezor或加密行业的定向行动。Trezor强调，其自身基础设施、固件和硬件钱包均未受影响，用户私钥与资产安全无恙。同时，Trezor的90天数据留存政策限制了泄露范围，该政策要求物流合作方在交付后90天内删除或匿名化订单数据。
作为应对，Trezor宣布将推出“匿名配送”服务，允许用户通过储物柜取件、使用无标识包装收货，且确保配送数据不被留存。该服务预计9月于欧盟上线，年底覆盖美国。
此次事件之所以引发行业高度关注，在于它精准触动了硬件钱包厂商最敏感的软肋——收货地址。Trezor承认，这是公司历史上首次同时暴露客户电话号码和物理地址的事件。2024年1月和2022年，Trezor曾分别因第三方支持工单平台遭入侵，影响6.6万及10.6万用户，但当时泄露的多为邮箱和姓名，而此次“你家在哪”的物理地址大规模流出，直接关联到加密世界日益严峻的“扳手攻击”威胁。
“扳手攻击”源自XKCD漫画，指攻击者不破解密码学算法，而是直接以物理暴力胁迫持币者交出私钥或助记词。无论技术防线多坚固，一旦攻击者掌握持币者的真实身份、资产数量及家庭住址，技术安全便形同虚设。近两年，这类案件在全球多地明显增多，法国是重灾区之一。2020年Ledger百万级客户邮箱和住址泄露后，就有用户遭遇上门抢劫或包裹掉包。此次事件发生后，已有法国用户反映家中遭窃，但尚未确认与本次泄露存在直接因果关系。
真正的教训在于：加密资产的安全边界远不止于私钥和助记词。供应链成为新的攻击面，第三方物流、客服、CRM、分析工具等任何薄弱环节都可能导致用户数据整体暴露。实体收货则是去匿名化的关键缺口——一次硬件钱包快递单，足以将匿名化的链上巨鲸与现实中的门牌号直接关联。
Trezor的90天数据删除政策有效缩小了损失半径，值得行业推广，但治标不治本。硬件钱包厂商和物流环节需要从设计源头减少对用户实体信息的依赖，储物柜取件、无标识包装等“匿名配送”方案是正确方向，但覆盖范围和普及速度有待观察。
对用户而言，建立“物理层”安全意识同样迫切。定期更换收货地址、使用代收点或虚拟地址、不在社交媒体炫耀持仓、警惕任何声称来自Trezor或交易所并要求提供助记词或转账的可疑电话邮件——这些线下反侦察习惯，正变得与助记词离线保存同等重要。由于攻击者握有真实姓名和地址，钓鱼话术的“可信度”将大幅提升，用户应默认为诈骗。
Trezor此次事件规模并非行业最大，但意义深远。它再次证明，加密资产最大风险点往往不在代码或密码学层面，而在于人与现实世界的连接点。当冷存储、多签、门限签名等技术护城河不断加固时，一条从仓库到家门口的快递轨迹，可能就是最致命却被忽视的裂缝。如何在“必须知道住址才能寄送设备”和“绝不能让任何人知道住址”这对天然矛盾中找到平衡，将是整个硬件钱包行业必须正面回应的课题。