Trezor, violazione dati tramite il corriere ShipMonk: rischio phishing per 13.689 clienti

Comprare un hardware wallet per criptovalute significa, in teoria, togliere le proprie chiavi private dal mondo connesso. Peccato che il dispositivo debba comunque arrivare a casa, dentro un pacco, spedito da qualcuno. Ed è esattamente lì che si è aperta la falla: Trezor ha confermato una violazione dei dati che riguarda quasi 14.000 clienti, causata non da un difetto dei propri sistemi ma dalla compromissione di ShipMonk, il partner logistico che immagazzina e spedisce gli ordini dell'azienda di Praga.

Cosa è finito là fuori

I numeri diffusi da Trezor sono precisi e poco rassicuranti. Per 11.742 clienti sono stati esposti nome, indirizzo email, numero di telefono e indirizzo di spedizione: il pacchetto completo. Altri 1.947 se la sono cavata con nome, città ed email. Totale: 13.689 persone.

«Abbiamo notizie difficili da condividere. Purtroppo uno dei nostri corrieri ha subito una violazione dei dati che ha esposto informazioni sensibili sugli ordini», ha scritto Trezor sul proprio account X. E ancora: «I nostri sistemi e i nostri dispositivi restano sicuri, ma i clienti coinvolti potrebbero registrare un aumento dei tentativi di phishing. Siamo profondamente dispiaciuti con la community e con le persone colpite».

» Leggi anche: Ancora email-truffa per utenti Ledger: Your wallet may be vulnerable to theft

La finestra temporale è limitata agli ordini consegnati tra il 10 maggio e l'8 agosto 2026. Non è un caso fortunato: Trezor impone ai propri partner di cancellare o anonimizzare i dati degli ordini 90 giorni dopo la consegna, e questa politica ha impedito che l'incidente si estendesse ad anni di archivi. È il tipo di scelta noiosa e poco appariscente che, quando le cose vanno male, fa la differenza tra un incidente circoscritto e un disastro.

I clienti interessati si trovano in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Gli ordini gestiti tramite Amazon non rientrano nella violazione, perché passano da un partner diverso. Trezor ha notificato via email tutte le persone coinvolte: chi non ha ricevuto la comunicazione non è nell'elenco.

Il fornitore certificato che è stato bucato lo stesso

ShipMonk ha informato Trezor dell'accesso non autorizzato ai sistemi che contenevano i dati dei clienti attorno al 10 agosto - le ricostruzioni delle varie testate divergono di un paio di giorni sulla cronologia esatta, ma l'annuncio pubblico è arrivato a metà settimana. Il dettaglio interessante è un altro: ShipMonk possiede la certificazione SOC 2 Type II, che comporta un audit indipendente sui controlli di sicurezza. Non è bastata.

Chi lavora nel settore lo sa già, ma repetita iuvant: una certificazione attesta che a un certo momento esistevano determinati processi, non che l'infrastruttura sia inespugnabile. Chi progetta prodotti orientati alla sicurezza continua a scoprire che il proprio perimetro reale non finisce dove finisce il codice, ma dove finisce l'ultimo fornitore della supply chain. SatoshiLabs, società madre di Trezor, dichiara di stare ancora indagando sull'incidente.

Nessuna cripto rubata, ma il rischio non è teorico

Trezor ribadisce che dispositivi, sistemi interni e backup dei wallet non sono stati toccati, e che nessun fondo è stato spostato. All'azienda non risultano casi confermati di pubblicazione, condivisione o vendita dei dati sottratti, né tentativi di truffa collegati all'incidente. Per ora.

Il problema è che un elenco di persone che hanno comprato un hardware wallet, completo di indirizzo di casa e numero di telefono, è una lista di potenziali bersagli venduta pronta all'uso. Email fasulle, telefonate da finto supporto tecnico, lettere cartacee con QR code che invitano a «verificare» il backup: il repertorio è collaudato. Trezor stessa nota che si tratta della prima violazione dal 2013 ad aver esposto numeri di telefono e indirizzi di spedizione dei suoi clienti.

C'è poi uno scenario peggiore del phishing. Dati anagrafici e indirizzi fisici sono stati usati in passato per selezionare vittime di rapine in casa e sequestri finalizzati a estorcere le chiavi private. Il caso citato da The Block è emblematico: una coppia francese ha subito tre irruzioni domestiche in un mese dopo essersi trasferita in una casa precedentemente di proprietà di milionari delle criptovalute, il cui indirizzo era finito in una fuga di dati. Altri estorsori si sono accontentati di chiedere riscatti tra 700 e 1.000 dollari o di spedire dispositivi contraffatti a domicilio.

Il precedente Ledger, che non smette di produrre danni

Il paragone inevitabile è con Ledger, che nel luglio 2020 perse circa un milione di indirizzi email, di cui circa 9.500 accompagnati dai dati postali completi. Le stime sulla portata di quell'incidente variano sensibilmente a seconda della fonte, ma l'aspetto rilevante è la coda lunga: anni dopo, ai clienti coinvolti arrivavano ancora a casa lettere contraffatte che chiedevano di inserire la frase di recupero, e le segnalazioni di telefonate e missive che si spacciano per Ledger continuano sei anni dopo. All'epoca l'amministratore delegato Pascal Gauthier rassicurava così: «non c'è modo di stabilire alcuna correlazione tra i dati trapelati e i fondi presenti sul vostro wallet». Tecnicamente corretto. Irrilevante rispetto a chi si presenta al citofono.

Nel gennaio 2026 gli stessi clienti Ledger sono stati avvisati di un'altra violazione, questa volta attraverso il partner di pagamento ed e-commerce Global-e. Sempre un terzo. Sempre lo stesso schema.

E il resto del settore non se la passa meglio: alla fine del mese scorso i wallet Coldcard di Coinkite sono stati presi di mira in un attacco che ha prosciugato 111 milioni di dollari in Bitcoin - alcune stime superano i 130 milioni - con l'azienda che invitava gli utenti a spostare i fondi mentre il furto era ancora in corso.

Il contesto generale non aiuta. Secondo SentinelOne le violazioni di dati a livello globale sono ai massimi storici, in crescita del 17% rispetto al 2025, con una media di 2.090 attacchi a settimana nel mondo e un incremento del 3% mese su mese da gennaio.

» Leggi: Ledger e Trezor sono sicuri? Posso fidarmi dei wallet hardware per Bitcoin e criptovalute? (video)

Cosa fare, e cosa cambia da qui in avanti

Le raccomandazioni di Trezor sono quelle di sempre, e restano valide proprio perché gli attacchi che seguono queste fughe di dati puntano sulla fretta: trattare qualsiasi sollecitazione urgente come un campanello d'allarme, verificare ogni comunicazione sospetta sui canali ufficiali, e soprattutto non digitare mai la frase di recupero su un sito web né comunicarla a chicchessia. Nessun supporto tecnico legittimo la chiederà mai.

Sul fronte strutturale, l'azienda annuncia una futura opzione di consegna anonima con ritiro presso locker e imballaggio neutro, destinata al mercato europeo. È la risposta giusta al problema giusto: se l'indirizzo di casa non deve stare in un database logistico, il modo più solido di proteggerlo è non metterlo. Per gli ordini futuri valgono anche due accortezze suggerite dalla stessa Trezor: usare un indirizzo email non riconducibile alla propria identità reale e, dove possibile, pagare in criptovaluta.

Un dispositivo può essere progettato per non far uscire mai una chiave privata, e mantenere la promessa. Ma l'atto stesso di acquistarlo genera un dato che dice al mondo che quella chiave privata esiste, e dove abita chi la custodisce. Questa è la parte che nessun firmware può proteggere.

Fonti: coindesk.com, beincrypto.com, bloomberg.com