In un aggiornamento pubblicato venerdì, Trezor ha rivelato che la fuga di dati derivante dal proprio partner di spedizione, ShipMonk, era significativamente più grave di quanto inizialmente si pensasse. Le informazioni personali di altri 67.000 utenti statunitensi — tra cui nomi, indirizzi, numeri di telefono, indirizzi email e dati degli ordini — sono state esposte, portando il numero totale di utenti coinvolti a 80.700 e mettendo a rischio i titolari di wallet Trezor.

Il nuovo gruppo di dati identificato riguarda ordini effettuati da clienti statunitensi tra novembre 2019 e agosto 2021, come Trezor ha annunciato in un post su X venerdì. Alcune di queste informazioni risalgono a quasi sette anni fa. Il dettaglio è rilevante: quando Trezor ha annunciato per la prima volta la violazione ad agosto, la politica di cancellazione dei dati dopo 90 giorni adottata dal partner di logistica era stata accreditata come elemento limitante del numero di utenti colpiti.

Il caso evidenzia un rischio più ampio nel settore dei hardware wallet: anche quando la sicurezza del fornitore è intatta, l'esternalizzazione della logistica e del servizio clienti introduce terze parti che detengono registrazioni sensibili dei clienti. Trezor, come il rivale Ledger, si affida a fornitori logistici esterni per spedire dispositivi in tutto il mondo, il che significa che la privacy dei clienti dipende in parte da partner le cui pratiche di conservazione dei dati non sono direttamente controllabili.

L'esposizione dei dati Trezor sale a 80.700 utenti

Trezor ha spiegato di aver chiesto più volte a ShipMonk una documentazione che confermasse la cancellazione dei dati di ordini più vecchi di 90 giorni. Ogni volta, l'azienda ha ricevuto risposte affermative. Trezor afferma ora che tali documenti si sono rivelati errati e, secondo quanto riportato, l'azienda ha addossato chiaramente la responsabilità al fornitore di spedizioni per aver conservato dati che aveva promesso di eliminare.

Le nuove cifre superano di gran lunga le stime precedenti. Ad agosto Trezor aveva quantificato l'esposizione in circa 14.000 persone. ShipMonk ha poi comunicato a Trezor i risultati aggiornati due giorni prima della divulgazione di venerdì, portando il totale a circa 80.700 utenti.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor ha chiarito che i propri sistemi non sono stati compromessi. Nessun dispositivo, chiave privata o backup di wallet è stato esposto, poiché la violazione è avvenuta interamente sul versante logistico. Sono però state compromesse informazioni come i dati di contatto dei clienti e le informazioni di spedizione. L'episodio illustra comunque i limiti delle rassicurazioni dei fornitori: le politiche contrattuali di cancellazione e la documentazione di conferma si sono rivelate insufficienti, da sole, a garantire che i dati fossero effettivamente rimossi, una sfida che va ben oltre il settore crypto e riguarda qualsiasi azienda che affidi registrazioni dei clienti a terzi.

Come una mailing list diventa un'arma

Il pericolo principale risiede nel puntamento mirato. La fuga di una mailing list di proprietari verificati di hardware wallet — inclusi i loro indirizzi di residenza — consente agli aggressori di prendere di mira proprio quelle persone con tentativi di phishing via email, telefonate e persino posta ordinaria. Trezor ha invitato gli utenti interessati a restare vigili contro tali tentativi e ha sottolineato la minaccia alla sicurezza personale. Poiché gli hardware wallet sono commercializzati come strumento per l'autocustodia di ingenti patrimoni crypto, un elenco dei loro acquirenti è di fatto un elenco di persone probabilmente in possesso di attività digitali, il che accresce i rischi rispetto a una generica mailing list di vendita al dettaglio.

La minaccia è già concreta. A febbraio, proprietari di wallet Trezor e Ledger hanno ricevuto lettere contraffatte stampate con ologrammi, codici QR e persino firme false di dirigenti, che li invitavano a eseguire un falso test di sicurezza o a rischiare il blocco dell'account. L'esperto di cybersicurezza David Sehyeon Baek ha osservato che una lettera contraffatta consegnata a un nome e a un indirizzo reali cambia la psicologia della truffa.

La portata del problema del phishing

Una truffa basata sull'impersonificazione non richiede un exploit tecnico per svuotare il wallet di un utente. Questi schemi dominano già le statistiche sulle perdite nel settore crypto: la società di cybersicurezza blockchain Hacken ha rilevato che phishing e truffe di ingegneria sociale hanno rappresentato 306 milioni di dollari sui 482 milioni di dollari totali rubati nel primo trimestre dell'anno. A luglio, un investitore ha rischiato di perdere 1 milione di dollari dopo aver confermato una transazione malevola di token su Ethereum.

Non è inoltre la prima volta che Trezor si trova ad affrontare una violazione legata all'esposizione di dati di contatto degli utenti. Nel gennaio 2024 l'azienda aveva rivelato che circa 66.000 clienti che avevano contattato il suo team di supporto dal dicembre 2021 erano stati esposti a truffe di phishing. Con la popolazione colpita ora diverse volte più numerosa, i clienti che hanno ordinato un dispositivo Trezor tra la fine del 2019 e la metà del 2021 potrebbero continuare a vedere tentativi di truffa mirati — via email, telefono o posta — per un certo periodo, e non si possono escludere ulteriori aggiornamenti da parte di Trezor o ShipMonk sulla portata definitiva del fallimento nella cancellazione dei dati, visto che le cifre sono già state corrette al rialzo una volta.