Trezor ผู้ผลิตฮาร์ดแวร์วอลเล็ตรายใหญ่ ออกประกาศวันที่ 13 สิงหาคม 2569 ว่า ShipMonk บริษัทคลังสินค้าและจัดส่งที่ Trezor จ้างงาน ถูกเจาะระบบ ทำให้ข้อมูลส่วนตัวของลูกค้า 13,689 ราย รั่วไหล ทั้งชื่อจริง อีเมล เบอร์โทรศัพท์ และที่อยู่จัดส่ง
แต่จุดที่ต้องเน้นให้ชัดตั้งแต่ต้น เพราะมีการแชร์กันแบบเข้าใจผิดเป็นวงกว้าง คือ ระบบของ Trezor ไม่ได้ถูกเจาะ ตัวเครื่องฮาร์ดแวร์วอลเล็ตไม่ได้ถูกเจาะ และกุญแจส่วนตัวกับวลีสำรองของผู้ใช้ยังปลอดภัยทั้งหมด สิ่งที่หลุดออกไปคือข้อมูลการติดต่อและที่อยู่ ไม่ใช่เงินในกระเป๋า
ถึงอย่างนั้น เรื่องนี้ก็ไม่ใช่เรื่องเล็ก เพราะสิ่งที่มิจฉาชีพได้ไปคือรายชื่อคนที่ยืนยันแล้วว่าถือคริปโต พร้อมที่อยู่บ้านจริง
สารบัญ
เกิดอะไรขึ้น
ตามประกาศความปลอดภัยบนบล็อกทางการของ Trezor เมื่อวันจันทร์ที่ 10 สิงหาคม 2569 ShipMonk ซึ่งเป็นผู้ให้บริการคลังสินค้าและจัดส่งสินค้าให้ Trezor ในสหรัฐฯ อังกฤษ และอีกหลายตลาด ได้แจ้ง Trezor ว่ามีบุคคลที่ไม่ได้รับอนุญาตเข้าถึงระบบที่เก็บข้อมูลคำสั่งซื้อของลูกค้า
การสอบสวนยังดำเนินอยู่ ทั้งสองบริษัทยังทำงานร่วมกันเพื่อหาว่าการเข้าถึงเกิดขึ้นได้อย่างไร และข้อมูลใดบ้างที่ถูกเข้าถึงจริง โดย ShipMonk ระบุว่าได้ปิดช่องโหว่และเพิ่มมาตรการความปลอดภัยแล้ว
เหตุผลที่บริษัทขนส่งมีข้อมูลพวกนี้อยู่ในมือ ก็เพราะการส่งของจำเป็นต้องใช้ชื่อผู้รับ ที่อยู่ เบอร์โทร และอีเมล เพื่อดำเนินการจัดส่งให้ถึงมือลูกค้า
ใครได้รับผลกระทบบ้าง
Trezor แบ่งผู้ได้รับผลกระทบออกเป็น 2 กลุ่มชัดเจน
| กลุ่ม | จำนวน | ข้อมูลที่หลุด |
|---|---|---|
| หลุดเต็มรูปแบบ | 11,742 ราย | ชื่อ-นามสกุลจริง, อีเมล, เบอร์โทรศัพท์, ที่อยู่จัดส่ง |
| หลุดบางส่วน | 1,947 ราย | ชื่อ, เมืองที่อยู่, อีเมล |
| รวม | 13,689 ราย | หมายเลขคำสั่งซื้อก็อยู่ในชุดข้อมูลที่ ShipMonk เก็บไว้ด้วย |
ผู้ที่เข้าข่ายคือลูกค้าที่ ได้รับสินค้าระหว่างวันที่ 10 พฤษภาคม ถึง 8 สิงหาคม 2569 และจัดส่งไปยัง 7 ประเทศนี้เท่านั้น
🌍 ประเทศที่ได้รับผลกระทบ
สหรัฐอเมริกา · สหราชอาณาจักร · สวีเดน · โคลอมเบีย · บราซิล · อิตาลี · โปรตุเกส
🇹🇭 แล้วคนไทยล่ะ
ประเทศไทยไม่อยู่ในรายชื่อที่ Trezor ประกาศ ผู้ที่สั่งซื้อและรับของในไทยจึงไม่เข้าข่ายเหตุการณ์นี้
🔍 วิธีเช็กว่าตัวเองโดนหรือไม่ แบบไม่ต้องเดา
Trezor ระบุว่าได้ส่งอีเมลแจ้งผู้ได้รับผลกระทบทุกรายเป็นการเฉพาะแล้ว จากอีเมลของฝ่ายความปลอดภัยของบริษัท
สิ่งที่ยังปลอดภัย และสิ่งที่หลุดจริง
นี่คือส่วนที่ถูกเข้าใจผิดมากที่สุดในการแชร์ต่อ หลายโพสต์พาดหัวว่า Trezor โดนแฮก ซึ่งคลาดเคลื่อนจากข้อเท็จจริง
| รายการ | สถานะ |
|---|---|
| ระบบภายในของ Trezor | ✅ ไม่ถูกเจาะ |
| ตัวเครื่องฮาร์ดแวร์วอลเล็ต | ✅ ปลอดภัย |
| กุญแจส่วนตัว (Private Key) | ✅ ไม่ถูกแตะต้อง |
| วลีสำรอง (Wallet Backup / Seed) | ✅ ไม่ถูกแตะต้อง |
| เงินคริปโตในกระเป๋า | ✅ ไม่ได้หายไปจากเหตุการณ์นี้ |
| ชื่อ อีเมล เบอร์โทร ที่อยู่บ้าน | 🚨 หลุดจริง |
ทำไมตัวเลขถึงจำกัดแค่หลักหมื่น ทั้งที่ Trezor ขายมา 13 ปี? บริษัทระบุว่าเป็นผลจากนโยบายเก็บข้อมูลไม่เกิน 90 วัน ซึ่งบังคับใช้กับพาร์ตเนอร์จัดส่งด้วย เมื่อพ้นกำหนดที่ครอบคลุมทั้งการส่ง การคืนสินค้า และการเปลี่ยนเครื่องแล้ว ข้อมูลจะถูกลบหรือทำให้ไม่ระบุตัวตน คำสั่งซื้อเก่ากว่านั้นจึงไม่เหลืออยู่ในระบบที่ถูกเจาะ
Trezor ยังระบุว่านี่เป็นครั้งแรกนับตั้งแต่ก่อตั้งบริษัทในปี 2556 ที่เกิดเหตุข้อมูลเบอร์โทรศัพท์และที่อยู่จัดส่งของลูกค้ารั่วไหล พร้อมกล่าวขอโทษผู้ได้รับผลกระทบ
ทำไมข้อมูลแค่นี้ถึงอันตราย
คำถามที่หลายคนสงสัยคือ ในเมื่อเงินไม่หาย แล้วจะกังวลไปทำไม คำตอบอยู่ที่ลักษณะเฉพาะของรายชื่อชุดนี้
ข้อมูลที่หลุดไม่ใช่รายชื่อคนทั่วไป แต่เป็น รายชื่อคนที่ยืนยันแล้วว่าซื้อฮาร์ดแวร์วอลเล็ต ซึ่งแปลว่ามีคริปโตในมือมากพอจะลงทุนซื้ออุปกรณ์เก็บ พร้อมที่อยู่บ้านและเบอร์โทรที่ติดต่อได้จริง
ความเสี่ยงที่ต่อยอดได้: มิจฉาชีพสามารถใช้ชื่อจริง เบอร์โทร อีเมล หรือที่อยู่ เพื่อสวมรอยเป็น Trezor เว็บเทรดคริปโต หรือแม้แต่ธนาคาร ทำให้การหลอกลวงดูน่าเชื่อถือกว่าสแปมทั่วไปมาก เพราะผู้หลอกรู้ข้อมูลจริงของเหยื่ออยู่แล้ว
4 รูปแบบหลอกที่ต้องระวังหลังจากนี้
| รูปแบบ | ลักษณะที่มักเจอ |
|---|---|
| 📧 อีเมลปลอม | อ้างเป็นฝ่ายความปลอดภัย แจ้งว่าบัญชีหรือกระเป๋ามีปัญหา ต้องยืนยันตัวตนด่วน พร้อมลิงก์ไปหน้าเว็บปลอมที่ทำเลียนแบบ |
| 📞 โทรศัพท์หลอก | โทรมาโดยรู้ชื่อจริง รุ่นสินค้า และเลขคำสั่งซื้อ ทำให้ดูน่าเชื่อถือ แล้วขอให้ทำตามขั้นตอนบางอย่าง |
| ✉️ จดหมายปลอมส่งถึงบ้าน | รูปแบบที่อันตรายที่สุด เพราะโจรรู้ที่อยู่จริง มีเคสจริงเมื่อกุมภาพันธ์ 2569 ที่ลูกค้า Trezor และ Ledger ได้รับจดหมายแนบ QR Code อ้างว่าต้องยืนยันระบบ |
| 📦 พัสดุปลอม | ส่งอุปกรณ์หรือการ์ดจดวลีสำรองปลอมมาให้ถึงบ้าน พร้อมคำแนะนำให้ย้ายเหรียญหรือกรอกวลีสำรอง |
🚨 กฎเหล็กข้อเดียวที่กันได้เกือบทุกกรณี
ห้ามกรอกวลีสำรอง 12, 20 หรือ 24 คำ ลงบนเว็บไซต์ใด ๆ และห้ามบอกใครทั้งสิ้น ไม่ว่าผู้ติดต่อจะอ้างเป็นใคร มาทางอีเมล โทรศัพท์ จดหมาย หรือ QR Code ก็ตาม ผู้ผลิตวอลเล็ตตัวจริงไม่มีวันขอข้อมูลนี้ ถ้ามีใครขอ นั่นคือมิจฉาชีพ 100%
รูปแบบจดหมายปลอมพร้อม QR Code นี้เคยเกิดขึ้นจริงมาแล้วหลายรอบ ทั้งแคมเปญที่แอบอ้าง Ledger เมื่อเมษายน 2568 ซึ่งใส่ทั้งโลโก้ ที่อยู่บริษัท และเลขอ้างอิงรายบุคคล เพื่อหลอกให้สแกน QR แล้วกรอกวลีสำรอง 24 คำ โดยอ้างว่าเป็นการอัปเดตความปลอดภัยเร่งด่วน
สิ่งที่ควรทำถ้าคุณเคยสั่งซื้อ
- เช็กกล่องอีเมลว่ามีอีเมลแจ้งเตือนจาก Trezor หรือไม่ ถ้าไม่มีแปลว่าไม่ได้รับผลกระทบ
- อย่ากดลิงก์ในอีเมลที่อ้างเป็น Trezor ให้พิมพ์ที่อยู่เว็บทางการเองทุกครั้ง
- ตั้งสติกับทุกการติดต่อที่เร่งให้รีบทำอะไรบางอย่าง ความเร่งรีบคือเครื่องมือหลักของมิจฉาชีพ
- ห้ามกรอกวลีสำรองลงเว็บหรือแอปใด ๆ เด็ดขาด
- ถ้าได้รับพัสดุที่ไม่ได้สั่ง อย่าเสียบอุปกรณ์นั้นกับคอมพิวเตอร์และอย่าสแกน QR ที่แนบมา
- ตรวจสอบข่าวหรือประกาศทุกครั้งจากช่องทางทางการของบริษัทเท่านั้น
- ผู้ที่ถือคริปโตมูลค่าสูงและที่อยู่หลุด ควรทบทวนความปลอดภัยทางกายภาพของที่พักด้วย
- พิจารณาเปลี่ยนไปใช้กระเป๋าแบบหลายลายเซ็น เพื่อไม่ให้จุดเดียวล้มแล้วเสียทั้งหมด
บทเรียนจากเคส Ledger ปี 2563
เหตุการณ์นี้ทำให้หลายคนนึกถึงกรณีของ Ledger คู่แข่งรายสำคัญ ซึ่งเคยมีข้อมูลลูกค้าราว 272,000 ราย ทั้งชื่อ ที่อยู่ และเบอร์โทรศัพท์ ถูกเผยแพร่ออกสู่สาธารณะเมื่อปี 2563
ผลที่ตามมาไม่ได้จบแค่อีเมลหลอกลวง มีผู้เสียหายบางรายรายงานว่าได้รับอีเมลเรียกค่าไถ่ที่มีเนื้อหาข่มขู่ถึงความปลอดภัย บางรายได้รับข้อความและอีเมลหลายฉบับต่อวัน และต่อมายังมีรายงานว่าถูกโทรศัพท์หลอกจากคนที่พูดจาเหมือนรู้จักตัวตนของเหยื่อจริง ๆ
ตัวเลขที่ทำให้เรื่องนี้ซีเรียสขึ้นในปี 2569: CertiK ยืนยันการโจมตีทางกายภาพต่อผู้ถือคริปโตทั่วโลก 52 ครั้ง ในครึ่งปีแรกของ 2569 เพิ่มจาก 39 ครั้งในช่วงเดียวกันของปีก่อน โดยการบุกเข้าบ้านแซงหน้าการลักพาตัวขึ้นเป็นวิธีที่พบบ่อยที่สุด ขณะที่ Chainalysis ระบุว่ามูลค่าที่ถูกขโมยจากการโจมตีลักษณะนี้เกิน 30 ล้านดอลลาร์ในช่วงเวลาเดียวกัน และปีนี้มีแนวโน้มเป็นปีที่แย่ที่สุดเท่าที่มีการบันทึก
นี่ยังไม่ใช่ครั้งแรกที่ปัญหาเกิดจากคู่ค้าในสายส่งของผู้ผลิตฮาร์ดแวร์วอลเล็ต โดย Ledger เคยเปิดเผยเหตุข้อมูลรั่วจากพาร์ตเนอร์อีคอมเมิร์ซของตัวเองเมื่อเดือนมกราคม 2569 และช่วงเดือนนี้เองบริษัทผู้ผลิตฮาร์ดแวร์วอลเล็ตหลายรายก็เพิ่งออกมาเตือนเรื่องการระบาดของฟิชชิ่ง ในจังหวะที่ความเสียหายจากช่องโหว่ Coldcard ใกล้แตะ 130 ล้านดอลลาร์
Trezor แก้ปัญหาอย่างไร
Trezor ระบุว่าจะเร่งเปิดตัวทางเลือก การจัดส่งแบบไม่ระบุตัวตน (Anonymous Delivery) ให้เร็วขึ้นกว่าแผนเดิม
1 รับของที่ตู้ล็อกเกอร์
ไม่ต้องส่งถึงบ้าน ลดการผูกที่อยู่จริงกับคำสั่งซื้อ
2 บรรจุภัณฑ์ไม่ระบุแบรนด์
กล่องไม่บอกว่าข้างในคืออุปกรณ์เก็บคริปโต และข้อมูลผู้ส่งเป็นชื่อกลาง ๆ
3 ลบข้อมูลอัตโนมัติ
ลบตัวระบุที่เกี่ยวกับการจัดส่งโดยอัตโนมัติหลังจบกระบวนการ
โดยตั้งเป้าเปิดใช้ในสหภาพยุโรปภายในเดือนกันยายน 2569 และในสหรัฐอเมริกาภายในสิ้นปีนี้ นอกจากนี้บริษัทยังแนะนำวิธีลดการเปิดเผยข้อมูลตั้งแต่ตอนสั่งซื้อ เช่น ใช้อีเมลที่ไม่ผูกกับตัวตนจริง และพิจารณาชำระเงินด้วยคริปโตแทนบัตรเครดิต
สรุปสั้น ๆ สำหรับคนที่จะแชร์ต่อ: ข่าวนี้เป็นเรื่องจริง แต่พาดหัวที่บอกว่า Trezor ถูกแฮกนั้นคลาดเคลื่อน สิ่งที่ถูกเจาะคือบริษัทขนส่งภายนอก สิ่งที่หลุดคือข้อมูลติดต่อและที่อยู่ ไม่ใช่กุญแจหรือเงินในกระเป๋า และคนไทยไม่อยู่ในกลุ่มที่ได้รับผลกระทบ แต่ความเสี่ยงฟิชชิ่งที่ตามมานั้นของจริงและควรระวัง
⚠️ ข้อจำกัดความรับผิดชอบ: บทความนี้จัดทำขึ้นเพื่อให้ข้อมูลเท่านั้น ไม่ถือเป็นคำแนะนำในการลงทุน ข้อมูลอ้างอิงจากประกาศทางการของ Trezor และรายงานข่าวจากสำนักข่าวต่างประเทศ ณ วันที่ 13 สิงหาคม 2569 การสอบสวนยังดำเนินอยู่และรายละเอียดอาจมีการปรับปรุงเพิ่มเติม ผู้อ่านควรตรวจสอบประกาศล่าสุดจากช่องทางทางการเสมอ
