Trezor, uno dei principali produttori di hardware wallet per criptovalute, ha notevolmente rivisto la portata di una violazione dati che coinvolge il suo ex partner di spedizione, ShipMonk.

L'azienda ha comunicato che altri 67.000 clienti statunitensi che hanno effettuato ordini tra novembre 2019 e agosto 2021 hanno subito la compromissione delle proprie informazioni personali, ampliando in modo significativo il numero di circa 14.000 persone inizialmente indicate come colpite il 13 agosto.

L'aggiornamento porta il totale dei clienti colpiti a circa 81.000. La violazione iniziale aveva esposto nomi, indirizzi email, numeri di telefono e indirizzi di spedizione di 11.742 clienti, oltre a dati parziali di altri 1.947; i registri appena identificati contengono informazioni personali complete, tra cui nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d'ordine.

Trezor ha sottolineato che la propria infrastruttura non è stata violata e che i suoi hardware wallet restano pienamente sicuri. Gli hardware wallet come quelli di Trezor conservano le chiavi private degli utenti offline sul dispositivo stesso anziché su server connessi a internet, motivo per cui la compromissione dei registri di spedizione, e non dei sistemi del wallet, non incide sulla sicurezza dei fondi. Tutte le persone interessate sono state contattate direttamente via email e l'azienda ha precisato che i clienti che non hanno ricevuto una notifica non sono coinvolti in questa ultima divulgazione.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Violazioni contrattuali e implicazioni per la sicurezza fisica

L'incidente mette in luce gravi carenze nella gestione dei dati da parte di terzi e nella conformità contrattuale. Per tutta la durata del rapporto con ShipMonk, Trezor ha chiesto ripetutamente la cancellazione delle informazioni dei clienti e ha ottenuto rassicurazioni scritte che i dati fossero stati rimossi in conformità con gli obblighi contrattuali e le politiche di protezione dei dati.

Trezor applicava una politica rigorosa che richiedeva ai partner di fulfillment di eliminare o anonimizzare i dati degli ordini entro 90 giorni dalla consegna. L'azienda ha espresso profonda delusione per il mancato rispetto di questi impegni, che ha lasciato informazioni sensibili conservate nei sistemi di ShipMonk per anni nonostante l'esplicita conferma scritta della loro distruzione. L'ampliamento della divulgazione, da circa 14.000 a circa 81.000 persone, illustra inoltre come le violazioni che coinvolgono fornitori terzi vengano spesso riviste al rialzo con il progredire delle indagini, un pattern osservato in molti settori dipendenti da fornitori esterni di logistica e fulfillment.

Al di là delle consuete preoccupazioni legate al furto di identità e alle frodi digitali, la violazione evidenzia i rischi peculiari di sicurezza fisica che riguardano i possessori di hardware wallet per criptovalute. L'esposizione di indirizzi residenziali collegati a acquisti noti di dispositivi pensati per proteggere asset digitali di alto valore crea vulnerabilità che vanno ben oltre le tipiche campagne di phishing.

Trezor ha invitato i clienti colpiti a una vigilanza rafforzata rispetto a email truffaldine, telefonate fraudolente e corrispondenza ingannevole, riconoscendo esplicitamente le potenziali implicazioni di sicurezza fisica per le persone i cui indirizzi di casa sono ora pubblicamente associati al possesso di criptovalute.

La situazione richiede da vicino la violazione dati di Ledger del 2020, che espose le informazioni di oltre 270.000 clienti e generò attacchi persistenti di social engineering, telefonate truffaldine e minacce fisiche protrattisi per anni dopo la divulgazione iniziale. Il ripetersi di tali incidenti sottolinea l'urgente necessità di un controllo più severo sui partner di fulfillment nel settore degli hardware wallet per criptovalute, e lo sviluppo da parte di Trezor di opzioni di consegna anonima potrebbe segnare un più ampio cambiamento di settore verso la minimizzazione dei dati dei clienti raccolti e conservati dai produttori di hardware wallet e dai loro fornitori.

In risposta, Trezor ha annunciato di stare sviluppando attivamente opzioni di consegna anonima per proteggere le informazioni dei clienti nelle transazioni future. L'azienda ha inoltre ribadito il proprio consiglio di sicurezza fondamentale: non condividere mai le frasi di recupero del wallet né inserirle in alcun sito web, in nessuna circostanza.

Fonte: Metaverse Post