三大冷錢包商被駭？Trezor、Ledger、KeepKey 驚傳逾 8 萬位用戶資料遭拍賣！

加密貨幣錢包分為兩種，一種是在連網狀態下生成地址與私鑰的熱錢包，一個是只有在需要交易時才會連線上網的冷錢包；理論上來說，由於熱錢包的私鑰無時無刻都暴露在網上，儘管比起冷錢包更為方便操作，但遭到駭客竊取的風險也更高。可是，這並不代表冷錢包就是安全無虞的 ⋯⋯

本文目錄

網路安全公司 Under The Breach 昨（24）日發文指出，有一位駭客在以太坊論壇上聲稱自己竊取了 Trezor、Ledger 和 KeepKey 三大冷錢包供應商的用戶數據資料，據稱都是利用了電商巨頭 Shopify 系統漏洞。

根據推文中張貼的圖片顯示，遭到暴露的數據有 41,488 位 Ledger 的用戶資料、Trezor 則是 27,185 位、KeepKey 也有 14,000 位；駭客聲稱，這些資料包含了用戶名稱、地址、手機號碼、電子信箱等，但並不包括密碼。

The Ethereum forum hacker is now selling the databases of @Trezor and @Ledger.

Both of which obtained from a @Shopify exploit.
(suggesting there are many more underground leaks).

The hacker also claims he has the full SQL database of famous investing site @BankToTheFuture. pic.twitter.com/4M3f2bQKvB

— Under the Breach (@underthebreach) May 24, 2020

不僅如此，駭客還掃蕩了許多知名網站的數據庫，包括以太坊論壇、Loanbase、Korbit 等交易所或平台，都有數量不等的資產負債表、提款記錄遭到外洩；最糟糕的是，被當成攻擊目標之一的知名眾籌平台 BnkToTheFuture，連 SQL 資料庫都遭到入侵。

Under The Breach 張貼的一段對話指出，駭客似乎是透過加拿大的電商巨頭 Shopify 取得這些資料，有一部分還是從另一大電商巨頭亞馬遜（Amazon），還有一些則是從實體店面；也就是說，這恐怕不僅只涉及到冷錢包製造商，還引發了幾家知名電商的安全危機。

駭客似乎並不擔心將事情鬧大，還囂張地在拍賣文章中寫道：「只歡迎大筆的交易。」

業者回應

《Decrypt》訪問了 Shopify 的公關經理 Candice So，她表示 Shopify 已經針對這起事件展開了調查，但並未發現任何證據資料庫有被入侵的痕跡，Shopify 的系統亦沒有遭到破壞的跡象；不過，這位駭客曾經在 2016 年攻擊過以太坊論壇，因此不得不更加謹慎。

另一方面，頂尖的冷錢包製造商 Trezor 則在推特上回應道，他們並沒有使用 Shopify 作為線上渠道，不過，為求安穩，Trezor 將會對立即啟動調查；此外，Trezor 還表示，他們一直都會定期刪除舊用戶的資料，目的就是要在資料庫受到攻擊時，能最小化它帶來的影響。

There are rumors spreading that our eshop database has been hacked thru a Shopify exploit. Our eshop does not use Shopify, but we are nonetheless investigating the situation. We've been also routinely purging old customer records from the database to minimize the possible impact.

— Trezor (@Trezor) May 24, 2020

Ledger 也同樣發表了推文表示，他們的電商團隊正在確認分析數據庫外洩的可能性；就現階段為止，Ledger 認為 Under The Breach 的指控與事實並不相符。Ledger 聲明，他們將會繼續調查，並承諾將會非常認真的看待這起事件。

Rumors pretend our Shopify database has been hacked through a Shopify exploit. Our ecommerce team is currently checking these allegations by analyzing the so-called hacked db, and so far it doesn’t match our real db. We continue investigations and are taking the matter seriously.

— Ledger (@Ledger) May 24, 2020

較上面兩家冷錢包供應商的積極態度不同的是，Under The Breach 在留言中透露，他們曾試圖聯絡眾籌平台 BnkToTheFuture 並告知這起駭客攻擊事件，但似乎無法引起 BnkToTheFuture 認真地看待；至於 KeepKey 的母公司 ShapeShift，目前還尚未回應此事件。