สิ่งที่ผู้ผลิตกระเป๋าฮาร์ดแวร์กลัวที่สุดไม่เคยเป็นเรื่องกุญแจส่วนตัวถูกถอดรหัส แต่เป็นเรื่องที่มีคนรู้ว่าบ้านคุณอยู่ที่ไหน เบอร์โทรอะไร และที่อยู่จัดส่งครั้งล่าสุดจากการช้อปปิ้งออนไลน์คือที่ไหน Trezor ยืนยันเมื่อวันพฤหัสบดีว่าระบบของ ShipMonk บริษัทโลจิสติกส์คู่ค้าถูกแฮกเกอร์เจาะเข้าไป ทำให้ข้อมูลส่วนบุคคลลับของลูกค้าเกือบ 1.4 หมื่นรายรั่วไหลออกไปทั้งหมด ผู้เสียหายกระจายอยู่ในสหรัฐฯ อังกฤษ สวีเดน โคลอมเบีย บราซิล อิตาลี และโปรตุเกส

เมื่อแยกดูขนาดของการรั่วไหล พบว่าลูกค้า 11,742 รายมีข้อมูลชื่อ อีเมล เบอร์โทรศัพท์ และที่อยู่จัดส่งรั่วไหลออกไปครบถ้วน ส่วนอีก 1,947 รายมีข้อมูลชื่อ เมืองที่อยู่อาศัย และอีเมลรั่วไหล Trezor โพสต์ผ่านแพลตฟอร์ม X ระบุว่า "เราต้องประกาศข่าวที่หนักใจ" และได้แจ้งเตือนผู้ใช้ที่ได้รับผลกระทบทุกรายผ่านอีเมลแล้ว หากใครไม่ได้รับอีเมลแจ้งเตือน แสดงว่าข้อมูลส่วนบุคคลของตนปลอดภัย ผู้บริโภคที่ซื้อสินค้าผ่าน Amazon ไม่ได้รับผลกระทบ เนื่องจากแพลตฟอร์มดังกล่าวใช้พันธมิตรด้านโลจิสติกส์อีกชุดที่แยกจากกัน

Trezor ย้ำว่าระบบภายในของบริษัทเองไม่ได้ถูกแฮก และการป้องกันทางการเข้ารหัสในตัวอุปกรณ์ "ไม่เคยถูกเจาะจากระยะไกลได้เลยจนถึงตอนนี้" สินทรัพย์คริปโตเองไม่ได้ถูกขโมยไป แต่ปัญหาอยู่ตรงช่องโหว่นี้เอง เมื่อที่อยู่และเบอร์โทรรั่วไหลออกไปแล้ว มิจฉาชีพไม่จำเป็นต้องเจาะระบบอะไรเลย แค่ส่งกระเป๋าเย็นปลอมที่ฝังมัลแวร์ไปตามที่อยู่จัดส่งที่มีอยู่ในมือ หรือปลอมตัวเป็นธนาคาร แพลตฟอร์มเทรด หรือแม้แต่ Trezor เองโทรมาขอรหัสผ่านและกุญแจส่วนตัว หลังจาก Ledger ทำข้อมูลผู้ใช้เกือบ 3 แสนรายรั่วไหลในปี 2020 ปีถัดมาก็เกิดกรณีหลอกลวงส่งกระเป๋าเย็นปลอมทางไปรษณีย์จริงๆ ซึ่งใช้วิธีการแทบจะเหมือนกันทุกประการ

นี่ไม่ใช่ครั้งแรกที่ Trezor พลาดท่าเพราะบุคคลที่สาม บริษัทแม่ Satoshi Labs เคยเผชิญเหตุระบบบริการลูกค้าถูกแฮ็กเมื่อเดือนมกราคมปีนี้ ส่งผลกระทบต่อผู้ใช้กว่า 66,000 คน และในเดือนเมษายน 2022 ก็มีข้อมูลส่วนบุคคลของลูกค้ากว่า 100,000 รายรั่วไหลออกมา แต่ครั้งนี้ถือเป็นครั้งแรกในรอบ 13 ปีนับตั้งแต่ก่อตั้งบริษัท ที่ทั้งเบอร์โทรศัพท์และที่อยู่จัดส่งหลุดออกไปพร้อมกัน ตัวอุปกรณ์เองอาจไม่มีปัญหา แต่ไม่ได้แปลว่าคนที่ถืออุปกรณ์อยู่จะปลอดภัย — จากสถิติของหน่วยงานความปลอดภัยบล็อกเชน Certik พบว่าแค่ครึ่งปีแรกของปีนี้ ความเสียหายจากคดีปล้นแบบเผชิญหน้าข่มขู่เพียงอย่างเดียวก็สูงถึง 124 ล้านดอลลาร์สหรัฐฯ

ขณะนี้ Trezor ระบุว่ายังไม่พบข้อมูลส่วนบุคคลที่รั่วไหลถูกเปิดเผยต่อสาธารณะหรือนำไปขาย และยังไม่มีรายงานการฉ้อโกงที่เกี่ยวข้อง แต่เมื่อที่อยู่จัดส่งหลุดออกไปแล้ว ความเสี่ยงมักไม่ได้จางหายไปพร้อมกับกระแสข่าวที่ซาลง