Una violazione dei sistemi del partner logistico ShipMonk ha esposto nomi, indirizzi email, numeri di telefono e indirizzi di spedizione di migliaia di clienti Trezor. L’azienda assicura che i wallet hardware e i propri sistemi interni non sono stati compromessi.
Una nuova fuga di dati scuote il settore
Trezor, uno dei principali produttori di hardware wallet per Bitcoin e altri asset digitali, ha comunicato una violazione che ha coinvolto 13.689 clienti in diversi Paesi, tra cui Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo.
L’incidente non avrebbe colpito direttamente i sistemi informatici di Trezor né i dispositivi utilizzati dagli utenti per custodire le proprie criptovalute. La falla ha invece interessato ShipMonk, società esterna incaricata della gestione delle spedizioni e degli ordini.
Trezor: quali dati sono stati esposti
Secondo le informazioni diffuse dalla società, l’accesso non autorizzato ai sistemi di ShipMonk ha interessato diverse categorie di dati personali.
In particolare, 11.742 clienti avrebbero subito l’esposizione di:
– nome e cognome;
– indirizzo email;
– numero di telefono;
– indirizzo di spedizione.
Per altri 1.947 utenti, invece, sarebbero stati resi accessibili soltanto nome, città e indirizzo email.
Il totale degli account potenzialmente interessati arriva quindi a 13.689 persone, tutte accomunate dall’aver ricevuto un ordine nei 90 giorni precedenti all’8 agosto.
Il rischio principale è il phishing
La sottrazione dei dati non significa che le criptovalute contenute nei wallet siano state rubate. Tuttavia, l’esposizione di informazioni personali può creare un terreno particolarmente favorevole per le truffe.
Con nome, email, numero di telefono e indirizzo fisico, i criminali possono costruire campagne di phishing e social engineering molto più credibili. Le vittime potrebbero ricevere messaggi, telefonate o comunicazioni cartacee apparentemente provenienti da Trezor, banche, exchange di criptovalute o altri servizi finanziari.
L’obiettivo potrebbe essere quello di convincere gli utenti a fornire password, codici di accesso, informazioni finanziarie o, soprattutto, la seed phrase del proprio wallet.
Quest’ultima rappresenta uno degli elementi più importanti nella sicurezza di un portafoglio crypto: chi ne entra in possesso può potenzialmente accedere ai fondi associati al wallet.
Anche l’indirizzo di casa rappresenta un problema
L’aspetto più delicato della violazione riguarda però la presenza degli indirizzi di spedizione nei dati compromessi.
Nel mondo delle criptovalute, infatti, la disponibilità di un indirizzo fisico associato a un utilizzatore di hardware wallet può rappresentare un rischio superiore rispetto a una normale fuga di dati.
Negli ultimi anni si sono verificati casi in cui informazioni personali di possessori di criptovalute sono state utilizzate per tentare di individuare e colpire fisicamente le vittime, con episodi che vanno dalle minacce alle intrusioni domestiche e alle rapine.
Secondo dati citati da Chainalysis, nella prima metà del 2026 sarebbero stati sottratti oltre 30 milioni di dollari in criptovalute attraverso attacchi violenti. Il dato mette in evidenza come la sicurezza degli investitori crypto non riguardi più soltanto password e sistemi informatici.
Un problema già visto con Ledger
Il caso Trezor ricorda da vicino precedenti incidenti che hanno coinvolto altri produttori di hardware wallet, in particolare Ledger.
Nel 2020 una violazione del database dedicato all’e-commerce e al marketing di Ledger portò alla sottrazione di informazioni relative a centinaia di migliaia di clienti. Furono esposti indirizzi email e, in diversi casi, numeri di telefono e indirizzi fisici.
Le conseguenze non si limitarono alla pubblicazione dei dati. Negli anni successivi alcuni utenti hanno continuato a segnalare tentativi di contatto da parte di truffatori che si spacciavano per rappresentanti di Ledger, cercando di ottenere informazioni sensibili o le seed phrase.
Un ulteriore episodio ha coinvolto, più recentemente, Global-e, partner utilizzato da Ledger per i pagamenti e l’e-commerce. Anche in quel caso l’accesso non autorizzato a sistemi di terze parti ha sollevato interrogativi sulla sicurezza dei dati affidati ai fornitori esterni.
Cosa devono fare gli utenti Trezor
Per i clienti potenzialmente coinvolti, la prudenza diventa fondamentale. Email, telefonate o messaggi che fanno riferimento a un ordine Trezor, a un presunto problema di sicurezza o alla necessità di “verificare” il wallet dovrebbero essere considerati sospetti.
In particolare, nessun operatore legittimo dovrebbe chiedere la seed phrase. Anche richieste di trasferire i fondi verso un nuovo indirizzo per motivi di sicurezza devono essere valutate con estrema cautela.
La violazione dimostra inoltre un principio importante per la sicurezza delle criptovalute: proteggere un wallet non significa soltanto mettere in sicurezza le chiavi private. Anche i dati utilizzati per acquistare e ricevere un dispositivo possono diventare uno strumento nelle mani dei truffatori.
Per Trezor, intanto, l’indagine sull’incidente prosegue. L’attenzione è ora rivolta a comprendere esattamente come sia avvenuto l’accesso ai sistemi di ShipMonk e quali ulteriori conseguenze possano emergere dalla fuga di dati.