Il produttore di hardware wallet Trezor ha rivelato che una violazione dei dati annunciata per la prima volta il mese scorso è più grave di quanto inizialmente riportato.

L'azienda, con sede a Praga, nella Repubblica Ceca, ha dichiarato venerdì che altri 67.000 clienti statunitensi hanno subito la fuga di nomi, email, numeri di telefono, indirizzi di spedizione e numeri d'ordine. Secondo Trezor, i dati diffusi provengono da ordini effettuati tra novembre 2019 e agosto 2021. Ulteriori 1.947 clienti hanno visto esposti solo nomi, città ed email.

Trezor aveva inizialmente annunciato ad agosto che erano stati esposti i dati di 11.742 clienti provenienti da Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo, con la fuga di nomi, email, numeri di telefono e indirizzi di spedizione.

In un post su X, l'azienda ha dichiarato:

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Nell'annuncio di venerdì, Trezor ha affermato che il proprio partner di logistica terzo, ShipMonk, aveva rassicurato falsamente l'azienda sulla cancellazione dei dati dei clienti.

"Per tutta la durata del nostro rapporto con ShipMonk, abbiamo ripetutamente richiesto e ricevuto garanzie scritte che confermavano la cancellazione dei dati, in linea con il nostro contratto, la nostra politica sui dati e le comunicazioni precedenti", ha scritto Trezor. "Siamo molto delusi dal fatto che, nonostante questa conferma, i dati non siano stati eliminati dai loro sistemi."

L'incidente evidenzia un problema strutturale più ampio nel settore degli hardware wallet: anche se questi dispositivi sono progettati per mantenere le chiavi private offline, il processo di acquisto passa generalmente attraverso piattaforme di e-commerce, gestori di pagamento e fornitori di spedizione che conservano i dati identificativi personali dei clienti. Ciò significa che le criptovalute di un cliente possono rimanere al sicuro sul dispositivo, mentre la sua identità e i suoi contatti restano esposti attraverso infrastrutture di terze parti fuori dal controllo diretto del produttore del wallet.

Né Trezor né ShipMonk hanno risposto immediatamente alle domande di Bitcoin Magazine.

Quando Trezor ha divulgato l'incidente ad agosto, ha spiegato che i dati erano stati diffusi perché ShipMonk aveva subito un "accesso non autorizzato ai loro sistemi contenenti dati dei clienti". L'azienda ha aggiunto di aver inviato un'email diretta a tutti i clienti coinvolti nella violazione. La società madre di Trezor, SatoshiLabs, ha dichiarato a Bitcoin Magazine il mese scorso di stare indagando sull'incidente.

Trezor è una delle soluzioni di hardware wallet per Bitcoin più diffuse e supporta anche la conservazione di altre criptovalute.

I dati personali dei bitcoiner sono già stati presi di mira dai criminali informatici in passato, e i record dei clienti diffusi sono stati storicamente utilizzati per colpire i possessori di hardware wallet. Dopo la violazione del 2020 ai danni del concorrente Ledger, i clienti colpiti hanno ricevuto messaggi minatori e tentativi di phishing che citavano i loro indirizzi di casa. In quell'incidente, una parte non autorizzata ha accesso al database di e-commerce e marketing di Ledger, diffondendo oltre 1 milione di indirizzi email e i dati di contatto personali di quasi 10.000 clienti. All'inizio di quest'anno, alcuni clienti hanno riferito di aver ricevuto email da Global-e, partner di pagamento di Ledger, secondo cui una violazione dei dati nei suoi sistemi cloud aveva diffuso dati sensibili dei clienti.