Dati personali appartenenti a 13.689 clienti Trezor sono stati esposti a seguito di una violazione della sicurezza presso ShipMonk, il provider di logistica di terze parti che gestisce le spedizioni per gli ordini del Trezor Shop in molteplici mercati.

Trezor ha comunicato l'incidente il 13 agosto, precisando che la violazione riguarda i clienti che hanno ricevuto ordini negli Stati Uniti, nel Regno Unito, in Svezia, Colombia, Brasile, Italia o Portogallo durante i 90 giorni precedenti l'8 agosto. ShipMonk ha informato Trezor dell'accesso non autorizzato ai sistemi contenenti i dati dei clienti il 10 agosto.

Entità dei Dati Esposti

Nomi completi, indirizzi di spedizione, numeri di telefono e indirizzi email sono stati esposti per 11.742 clienti. Altri 1.947 clienti hanno subito l'accesso a nomi, città e indirizzi email.

Trezor ha sottolineato che i propri sistemi, hardware wallet, chiavi private e backup dei wallet non sono stati compromessi. Tuttavia, i record di spedizione esposti confermano implicitamente che questi individui possiedono hardware wallet per criptovalute, rendendoli bersagli di alto valore per attacchi di ingegneria sociale. Con nomi, indirizzi e numeri di telefono a disposizione, i truffatori possono creare email di phishing mirate, telefonate e posta cartacea impersonando Trezor, exchange di criptovalute, banche o società di spedizione.

Un attacco comparabile in precedenza aveva causato la perdita di circa 1,07 milioni di dollari per un utente Ledger, dopo aver ricevuto una falsa lettera di supporto che lo indirizzava a un sito di phishing che richiedeva la frase di recupero.

Trezor ha contattato tutti i clienti interessati direttamente da help@trezor.io. I clienti che non hanno ricevuto un'email di notifica non fanno parte della popolazione della violazione identificata.

La Politica di Conservazione dei Dati Ha Limitato l'Esposizione

Trezor richiede che le informazioni di acquisto vengano eliminate o anonimizzate 90 giorni dopo la consegna, e ShipMonk opera secondo lo stesso requisito di conservazione. Di conseguenza, i record clienti più vecchi erano già stati rimossi dai sistemi interessati. Senza questa politica, la violazione avrebbe potuto esporre i dati di spedizione accumulati su un periodo molto più lungo, anziché solo gli ordini consegnati dal 10 maggio.

L'incidente illustra una sfida più ampia per le aziende che mantengono una solida sicurezza interna ma si affidano a fornitori di terze parti per logistica, stampa o supporto clienti: ogni partner esterno rappresenta una superficie di attacco aggiuntiva al di fuori del controllo diretto dell'azienda principale.

Trezor prevede di introdurre un'opzione di Consegna Anonima nell'Unione Europea entro settembre, con un rollout negli Stati Uniti previsto entro la fine del 2026. Il sistema proposto utilizzerà punti di ritiro in armadietti, imballaggi neutri, informazioni sul mittente generiche ed eliminazione automatica degli identificatori di spedizione dopo la consegna.

Trezor Invita alla Vigilanza Contro il Phishing

Trezor consiglia ai clienti interessati di trattare qualsiasi comunicazione non richiesta che richieda azioni immediate o informazioni personali come sospetta. L'azienda ha ribadito che un backup del wallet non dovrebbe mai essere inserito in alcun sito web o condiviso con chiunque sostenga di rappresentare Trezor.

L'incidente si verifica in mezzo a un'onda più ampia di eventi di sicurezza dei wallet di criptovalute. I furti collegati a Coldcard hanno costituito la più grande perdita di sicurezza crittografica di luglio, mentre un separato grande possessore di Ethereum ha recentemente perso 25,6 milioni di dollari attraverso un attacco di phishing, dopo aver precedentemente perso 24,2 milioni di dollari dallo stesso wallet nel 2023.

ShipMonk ha messo in sicurezza i sistemi interessati mentre le indagini continuano, e le operazioni di Trezor rimangono online. Questo rappresenta la prima violazione dalla fondazione di Trezor nel 2013 a esporre numeri di telefono e indirizzi di spedizione dei clienti.