Si allarga la fuga di dati che coinvolge i clienti di Trezor. Il produttore di hardware wallet ha comunicato che altre 67.000 persone negli Stati Uniti risultano coinvolte nella violazione di sicurezza subita da ShipMonk, società incaricata della gestione delle spedizioni.
La nuova scoperta porta il numero complessivo dei clienti potenzialmente interessati a circa 80.700, rispetto ai 13.689 inizialmente comunicati ad agosto.
Il caso assume particolare rilevanza perché una parte delle informazioni esposte risale addirittura al 2019, diversi anni prima rispetto al periodo di conservazione dei dati che Trezor aveva dichiarato di aver concordato con i propri partner logistici.
Trezor: altri 67.000 clienti americani coinvolti
Secondo quanto comunicato dall’azienda, i nuovi dati compromessi riguardano esclusivamente clienti statunitensi che avevano effettuato ordini tra novembre 2019 e agosto 2021.
Le informazioni esposte comprendono:
nome e cognome;
indirizzo email;
numero di telefono;
indirizzo di casa;
numero dell’ordine.
ShipMonk avrebbe informato Trezor della presenza dei dati nei propri sistemi due giorni prima dell’annuncio.
L’aspetto più problematico riguarda però l’età dei record. Alcuni risalgono a quasi sette anni fa, nonostante Trezor avesse affermato di aver adottato una politica che prevedeva la cancellazione dei dati dopo 90 giorni.
La politica dei 90 giorni finisce sotto esame
Quando Trezor aveva reso pubblica la prima parte dell’incidente, l’azienda aveva spiegato che l’impatto della violazione era stato limitato proprio grazie a una politica di conservazione dei dati.
Secondo quanto dichiarato all’epoca, i partner incaricati della gestione degli ordini avrebbero dovuto eliminare le informazioni dei clienti entro 90 giorni.
Trezor sostiene di aver chiesto più volte a ShipMonk conferma scritta dell’avvenuta cancellazione, ricevendo rassicurazioni in tal senso.
La scoperta dei nuovi archivi cambia però il quadro. I dati relativi agli ordini effettuati tra il 2019 e il 2021 dimostrano infatti che almeno una parte delle informazioni è rimasta disponibile molto più a lungo del previsto.
L’azienda ha espresso delusione per la situazione, sottolineando di aver ricevuto ripetute conferme sulla cancellazione dei dati.
Il precedente attacco aveva coinvolto quasi 14.000 clienti
Il data breach era stato inizialmente comunicato da Trezor nell’agosto 2026.
In quella prima fase erano stati identificati 13.689 clienti coinvolti: 11.742 persone avevano subito l’esposizione di dati più completi, mentre altri 1.947 clienti risultavano interessati dalla divulgazione di nomi, città e indirizzi email.
Con l’ultima scoperta, il numero complessivo sale quindi a circa 80.700 utenti.
L’incidente non ha invece compromesso i sistemi proprietari di Trezor. Secondo l’azienda, chiavi private, dispositivi hardware e backup dei wallet non sono stati violati.
Questo significa che la violazione non consente direttamente agli aggressori di accedere alle criptovalute custodite nei dispositivi. Il problema riguarda piuttosto le informazioni personali che possono essere utilizzate per attacchi mirati.
Perché un indirizzo di casa è un problema per chi possiede Bitcoin
Per un normale cliente di un negozio online, la perdita di nome, telefono e indirizzo può rappresentare un serio problema di privacy. Nel caso dei possessori di hardware wallet, però, il rischio può essere ancora maggiore.
Un indirizzo associato all’acquisto di un dispositivo Trezor può infatti indicare che una determinata persona possiede o ha posseduto un sistema per la custodia autonoma di criptovalute.
Queste informazioni possono essere sfruttate per campagne di phishing, truffe telefoniche, posta fraudolenta e tentativi di estorsione.
Il rischio non si limita inoltre agli attacchi digitali. La disponibilità di un indirizzo fisico può trasformare una violazione di dati in una potenziale questione di sicurezza personale.
I precedenti: lettere false e QR code per rubare criptovalute
Il problema diventa ancora più delicato alla luce di precedenti campagne di phishing rivolte ai possessori di hardware wallet.
Nei mesi scorsi erano state segnalate lettere contraffatte che imitavano le comunicazioni ufficiali di Trezor e Ledger. Alcune utilizzavano elementi grafici particolarmente sofisticati, inclusi ologrammi, firme falsificate e QR code destinati a indirizzare le vittime verso siti fraudolenti.
L’obiettivo di questi attacchi è generalmente ottenere informazioni sufficienti per compromettere la sicurezza del wallet.
Trezor ha quindi ribadito un principio fondamentale: il backup del wallet, la seed phrase e le chiavi private non devono mai essere condivisi né inseriti in un sito web in risposta a una comunicazione ricevuta via email, telefono o posta.
L’origine della violazione: una vulnerabilità in Metabase
L’incidente che ha coinvolto ShipMonk sarebbe riconducibile a una vulnerabilità critica presente in Metabase, una piattaforma utilizzata per l’analisi dei dati.
La falla, resa pubblica il 6 agosto, consisteva in una vulnerabilità di tipo SQL injection che poteva consentire ad attaccanti non autenticati di ottenere credenziali relative ai database collegati.
La stessa ondata di attacchi avrebbe interessato anche altre aziende, tra cui il produttore di notebook Framework e la piattaforma per la creazione di moduli Tally.
Nel caso di ShipMonk sarebbero inoltre arrivate richieste estorsive attribuite al gruppo ShinyHunters, anche se l’attribuzione dell’attacco non risulta confermata.
Trezor prepara consegne più anonime
La società sta ora cercando di ridurre il rischio associato alla gestione degli indirizzi dei propri clienti.
Trezor ha dichiarato di voler introdurre il più rapidamente possibile opzioni di consegna anonima, attraverso sistemi che permettano di evitare la comunicazione dell’indirizzo di casa.
Tra le soluzioni considerate figurano il ritiro presso locker, confezioni neutre e informazioni generiche sul mittente.
L’obiettivo è semplice: impedire che l’acquisto di un hardware wallet possa essere facilmente collegato all’abitazione del proprietario.
Un campanello d’allarme per l’intero settore
Il caso Trezor evidenzia un problema spesso sottovalutato: la sicurezza di un wallet non dipende soltanto dalla protezione delle chiavi private.
Anche i dati personali utilizzati per acquistare un dispositivo possono diventare un bersaglio prezioso.
La violazione di ShipMonk dimostra inoltre che il rischio può persistere per anni. Informazioni che avrebbero dovuto essere cancellate possono rimanere accessibili molto più a lungo del previsto e tornare utili agli aggressori anche a distanza di tempo.
Per gli utenti Trezor coinvolti, la raccomandazione resta quindi quella di prestare particolare attenzione a email, telefonate, SMS e lettere che facciano riferimento al proprio wallet o chiedano di verificare il dispositivo.
Nessuna comunicazione legittima dovrebbe richiedere la seed phrase o le chiavi private.