Trezorのデータ漏洩がまた拡大——67,000人追加、ハードウェアウォレットユーザーが今すぐ確認すべきこと

Trezorのデータ漏洩が、当初の報告より「ずっと悪かった」という続報が出てきました。新たに67,000人の米国ユーザーの個人情報が追加で流出していたとのこと。正直、このニュースを見て「またか」と思いながらも、背筋がちょっと伸びました。ハードウェアウォレットを使っていれば安全、という思い込みが崩されていく感覚は、2017年のころから何度も味わってきましたが、慣れることはないです。

何が起きているか

報告によると、Trezorの顧客データベースに関する漏洩は今回の追加開示によって被害規模がさらに拡大しました。流出したのは主にメールアドレスや氏名、場合によっては住所などの個人情報で、秘密鍵そのものが抜かれたわけではありません。ただ、これが問題なのは「コインを直接盗まれた」ではなく、「フィッシング詐欺に使われる素材が揃った」という点です。

ハードウェアウォレットのユーザーというのは、暗号資産保有者の中でも比較的リテラシーが高く、かつそれなりの資産を持っている層です。名前とメールアドレスだけでも、攻撃者にとっては「標的リスト」として十分すぎるほどの価値があります。「あなたのTrezorにセキュリティ上の問題があります。今すぐこちらからシードフレーズを入力して確認してください」——こういうメールが届いたとき、Trezorユーザーだと知っている攻撃者が送ってきたものなら、精度は格段に上がります。

ハードウェアウォレット神話のほころび

自分がこの業界を長く見てきて感じるのは、「デバイスの安全性」と「サービスとしての安全性」を混同している人が多すぎるということです。Trezorのハードウェア自体がハックされたわけじゃない。でも、Trezorという会社が顧客データを管理しているサーバーはハックされた。これは全然別の話です。

2022年にLedgerも同様のデータ漏洩を起こしています。あのときも流出したのは個人情報で、その後Ledgerユーザーを狙ったフィッシングやSIMスワップ攻撃が急増しました。被害を受けた人の声をいくつか直接聞く機会があって、当時は本当に胃が痛くなりました。今回のTrezorの件は、その再来になる可能性を自分は見ています。

メーカーを信頼することと、そのメーカーのバックエンドインフラを信頼することは、別のことです。どんなに良いデバイスを使っていても、顧客情報を持つ企業がサイバー攻撃に耐えられるかどうかは、また別の問題です。これはTrezorだけの話ではなく、暗号資産関連のサービス全般に言えます。

今できることと、できないこと

まず整理しておくと、秘密鍵やシードフレーズそのものが流出した証拠は今のところありません。なので「今すぐウォレットを移す必要がある」というパニックには乗らないほうがいいと思っています。ただ、以下については確認する価値があると思っています。

Trezorに登録しているメールアドレスに対して、不審なメールが届いていないか。届いている場合、絶対にリンクをクリックしない、添付ファイルを開かない。「シードフレーズを入力してください」は、どんな状況でも100%詐欺です。Trezorも他の正規のハードウェアウォレットメーカーも、絶対にそんなことを求めません。

また、Trezorと同じメールアドレス・パスワードの組み合わせを他のサービスで使い回しているなら、それは今すぐ変えたほうがいいです。漏洩したメールアドレスに対してクレデンシャルスタッフィング（他所から流出したパスワードを試す攻撃）が飛んでくる可能性があります。

量子コンピュータ問題との不思議な符合

ちょうど同じタイミングでG7が「量子コンピュータ脅威への対応を急げ」という警告を出しています。こちらは現実の脅威になるまでにまだ数年はあるとされていますが、今回のTrezorの件と並べて見ると、「暗号資産の安全を支えるインフラ全体」について考えさせられます。デバイスの暗号化は強固でも、それを取り巻く人的・組織的なセキュリティが穴になる。古典的なパターンがまた繰り返されています。

市場への影響と今の相場

今日のBTCは$79,584で、24時間で-1.5%。7日間ではほぼフラットという動きです。この価格帯、$79,000〜$80,000は今の相場における心理的な節目になっています。今朝の米国雇用統計（NFP）が予想外の数字を出したことでBTCが一時$80,000を割り込んだという報道も出ており、マクロ環境がまだ上値を抑えている状況です。

$78,000〜$78,500あたりが直近のサポートとして意識されていると自分は見ています。ここを明確に割るようだと$75,000方向への調整もあり得るし、逆に$82,000を超えてくれば$85,000が次のレジスタンスになります。ただ、今の状況で強気に構えるには材料が弱い。Fear & Greedは73（Greed）とまだ強欲ゾーンにいますが、今日のような漏洩ニュースやマクロの揺れが重なると、センチメントが急速に変わることも過去に何度も見てきました。

Trezorの件で言えば、直接の価格インパクトは限定的だと思っています。ただ、「セキュリティへの不安」が積み重なると、長期保有者の一部がコールドウォレットの扱いを見直し始める。そのプロセスで取引所への一時的な資産移動が起きることもある。こういう動きが相場のノイズになることは過去にもありました。大きなトレンドを作る話ではないですが、短期的な撹乱要因として頭の片隅には置いています。

サバイバーとして言えること

2017年から数えると、取引所のハック、詐欺プロジェクト、FTXの崩壊、無数のラグプル——それらを全部見てきて思うのは、「技術は正直だが、それを扱う人間や組織は時々嘘をつく、あるいは単純にミスをする」ということです。Trezorというデバイスを信頼することと、Trezorという会社がデータを完璧に管理できると信頼することは、やっぱり別の話です。

今回の件で改めて確認したいのは、自分の資産に紐づく個人情報がどこに、どのくらい渡っているか、ということです。KYCを求められるサービスを使うとき、それは避けられない部分もあります。でも、不必要にメールアドレスや住所を登録しているサービスを棚卸しするいい機会にはなります。

相場を追いかけながらも、自分の資産管理の基盤を定期的に見直す。これが地味で大事なことだと、長年経験して改めて思っています。取引の判断に自信が持てないときや、自分のポートフォリオ管理を補完したいときは、BingXのコピートレード機能を参考にする手もあります。実績のあるトレーダーの動きを見ながら学べる環境は、特に相場が読みにくい今の時期には悪くない選択肢だと思っています。

そんな感じで見ています。