明らかにされたこと：Trezorの最新のセキュリティ違反は、ベンダーの情報漏洩によるもので、実際の標的はウォレットではなかった。

展示品、評価：9月9日、メールが受信箱に届いた。347,000人トレゾールのニュースレターに登録していた人々です。そのメールには、トレゾール自身のドメインが記載されており、件名はセキュリティに関する通知のようでした。「重要なセキュリティ警告：STM32 Entropyの脆弱性」という内容で、またリンクもありました。そのリンクをクリックすると、暗号通貨ユーザが持っている最も危険なデータが何かを尋ねるアプリが開きます。それは、いわゆるリカバリーシードと呼ばれるものです。このメールはトレゾールからのものではありませんでした。トレゾールが最初にそう述べたのです。これはフィッシングの試みです。. どのリンクもクリックしないでください。."

この報告書に記されている内容は、注意深く読む価値があります。なぜなら、一般的に伝えられている事実が、重要な点で間違っているからです。Trezorのシステムやウォレット、アカウントインフラはハッキングされていませんでした。この問題は別の場所で発生したのです。Brevoは、Trezorがニュースレターのために使用する第三者による電子メールマーケティングサービスです。侵入者は、Brevoのログインシステムの欠陥を利用して、プラットフォーム上の顧客アカウントの情報を取得しました。その中にはTrezorのアカウントも含まれていました。そして、偽のアップデート情報を347,000人分のメーリングリストに送信したのです。公開されたデータは、メールアドレスだけでした。パスワードやウォレットのデータ、資金を利用できる情報は何もありませんでした。

それが、物語を再構築するための「最も小さな事実」です。見出しは「Trezorのデータ漏洩」であり、「Trezor」という言葉がすべての悪影響を与えているのです。しかし、その漏洩がどの程度のものかを判断することも同じく重要です。その漏洩は実際に起こったことであり、無害なものではありませんでした。

見出しではなく、ペイロードに従ってください。

Trezorがその事件について述べた内容から、有益な数字が得られる。悪意のあるドメインは、DNSレベルで削除された。20分これが、削除される前にアプリをクリックした約2,500人の人々への被害を抑える要因となりました。その中で、単にアプリをクリックしただけで、シードフレーズを入力しなかった人々には、危険はないと伝えられました。一方、シードフレーズを入力した人々には、実際には重要な指示が与えられました。それは、古いウォレットが侵害されていると仮定して、すぐに資金を新しいウォレットに移動することです。

その分断こそが、自己管理のリスクがどこに存在するかを示す全ての理由です。ハードウェアウォレットは、宣伝されている通りに機能しました。偽造されたアップデートはファームウェアには届きませんでしたし、悪意のあるアプリも、秘密を公開しないデバイスからデータを読み取ることはできませんでした。攻撃者はウォレットを破壊する必要はありませんでした。必要だったのは、所有者がプロトコルを破ることだけでした。つまり、ウォレットが失われた場合に復元するためのバックアップを渡すことです。そして、そのバックアップは、要求されるソフトウェアに入力されるべきではありません。シリコンは守られていましたが、ベンダーが管理できない層、つまり、復元用のパスワードを保持する人間こそが、目標となっています。

これはTrezorの他の2つの「破損」部分と同じ形状です。それらを並べて見ると、そのパターンが明確になります。2024年1月には第三者サポート・チケット管理ポータル2026年には、物流および配送業務を手がけるShipMonk社で、この事件が起きました。14,000人の顧客そして、約に成長した。81,000件の、以前の注文記録が数えられた。– 名前、メールアドレス、電話番号、住所などです。今ではBrevoというメールサービスプロバイダーが存在します。これらの情報はすべて、サポートや物流、マーケティングなどの部門を含むTrezorのサプライチェーン内にあります。そして、どの部門も製品自体には関与していないのです。

これはTrezorだけの条件ではありません。レジャーは支払いプロセッサを通じて被害を受け、SafePalはベンダーを通じて被害を受けた。2026年にも同様のことが起きている。業界内で最も大きな2社と、3番目の競争相手が、同年に同じような第三者の手段を通じて情報が漏えいした。これはその分野に関するデータであり、特定の会社の道徳的な欠点ではない。

実際の投資の状況はどうなっているか

誰かがこの記号を何か別の意味で解釈する前に、明確に言っておく必要があります。Trezorは私企業であり、チェコの親会社であるSatoshiLabsが所有しています。そのため、Trezorの株を購入したり、売却したり、心配する必要はありません。ですから、この出来事が小売投資家が保有できるどんな資産の価格にも影響を与えるわけではありません。重要なのは、実際に参加できる市場、つまりハードウェアウォレットや自己管理型ウォレット市場にとっての意味です。業界の推定によると、この市場全体の規模は…年間10億ドル以下で、かつ集中度が高い。いくつかのブランドの中から。

そのカテゴリーにおいては、経済的側面は一つの資産に基づいています。それが「信頼」です。ハードウェアウォレットは、一度限りのハードウェアの販売と、付属品やサブスクリプションの提供から成り立っています。無料のソフトウェアウォレットよりも高い価格を得ることができるのは、「キーがインターネット上に出回らない」という点です。どのベンダーが技術的な問題を引き起こしたかに関わらず、彼らは自分たちのブランド名で宣伝を行い、そのためのマーケティング予算を使っています。自己管理のメッセージが、ウォレットの会社が情報を漏らすというニュースと衝突するたびに、反対の論調が強まっていきます。少なくとも、取引所には返金制度があるので、それは実際に存在する課題です。しかし、この課題は解決が遅いものです。

しかし、個人投資家にとっては、より深刻な問題は、資産の配分という点ではなく、個人的な問題です。347,000件のメールアドレスは、Trezorによって攻撃者が永続的に知るものとして扱われています。これらは、人々がそのウォレットを使用し続ける限り、永続的なフィッシングの手段となります。このような失敗の原因は、シードフレーズを入力するように促されることです。Trezorや他のどの企業も、それを修正できるファームウェアの更新はありません。

これが、読み取り結果を変えるための条件です。もし、Trezorの自社のデバイスやバックアップサービス、またはアカウントシステムが実際に侵害されているという証拠が明らかになった場合——つまり、この問題が単なるベンダーの漏洩ではなく、製品自体に影響を与えるものとなった場合——それならば、これは単なる評判やフィッシングの問題ではなく、企業が提供する価値の核心となる真のセキュリティ問題となります。現在の情報では、そのような事実は何も示されていません。Trezor自身も、自社のシステムが無害であることを明言しています。その事実が変わるまでは、正直なところ、これはベンダーのセキュリティ上の問題であり、ベンダーが防ぎ得ないものに対する攻撃だと言えます。ウォレット自体は故障していません。常にそうです——キーを持っている人が悪意を持って行動するまでは。