Il produttore di hardware wallet Trezor ha comunicato una violazione dei dati presso il proprio fornitore di logistica di terze parti, ShipMonk, che ha esposto le informazioni personali di circa 13.700 clienti in sette paesi.

Trezor, gestito da SatoshiLabs con sede a Praga, è uno dei marchi di hardware wallet più riconosciuti nel settore delle criptovalute, insieme a concorrenti come Ledger. L'incidente evidenzia una sfida ricorrente per il settore: anche quando i dispositivi crittografici rimangono sicuri, i dati dei clienti detenuti da fornitori e partner di logistica possono diventare un bersaglio di alto valore. Nel 2020, Ledger ha subito una grave violazione del database dell'e-commerce che ha esposto i dati personali di circa 270.000 clienti, portando a diffuse campagne di phishing e segnalazioni di lettere di estorsione fisica inviate agli utenti colpiti.

L'azienda ha descritto l'incidente attuale come la prima esposizione di numeri di telefono e indirizzi di spedizione dei clienti dalla sua fondazione nel 2013. Le persone interessate sono nuovi clienti negli Stati Uniti, nel Regno Unito, in Svezia, Colombia, Brasile, Italia e Portogallo che hanno ricevuto ordini nei 90 giorni precedenti l'8 agosto 2026.

Secondo Trezor, soggetti non autorizzati hanno ottenuto accesso ai sistemi di ShipMonk intorno al 10 agosto 2026, compromettendo i registri degli ordini contenenti nomi completi, indirizzi di spedizione, numeri di telefono e indirizzi email. Tra gli interessati, 11.742 clienti hanno subito un'esposizione completa di tutte e quattro le categorie di dati, mentre altri 1.947 clienti hanno subito un'esposizione parziale limitata a nome, città ed email.

Trezor ha sottolineato che i propri sistemi interni e dispositivi hardware non sono stati compromessi. La portata della violazione è stata limitata da una politica di conservazione dei dati di 90 giorni che richiede ai partner di logistica di eliminare o anonimizzare i registri degli ordini dopo la consegna.

"Abbiamo alcune notizie difficili da condividere", ha dichiarato Trezor nel suo annuncio originale. "Purtroppo, uno dei nostri fornitori di spedizione ha subito una violazione dei dati che ha esposto dati sensibili degli ordini."

https://x.com/Trezor/status/2087885428313543059

Tutti gli utenti interessati sono stati contattati direttamente via email. Trezor ha avvertito che i dati personali trafugati potrebbero consentire campagne di phishing più sofisticate, con potenziali aggressori che potrebbero fingersi banche, exchange di criptovalute o la stessa Trezor per estrarre informazioni sensibili dai clienti. Sapere che un individuo ha acquistato un hardware wallet consente agli aggressori di personalizzare i tentativi di ingegneria sociale con un grado maggiore di plausibilità, una tattica osservata in seguito a incidenti simili presso altri fornitori di wallet.

Consegna Anonima e Misure di Privacy Migliorate

In risposta all'incidente, Trezor sta accelerando il lancio di un servizio di "Consegna Anonima" destinato a recidere il legame tra gli acquisti di hardware wallet e le identità reali dei clienti. La funzione, prevista per il lancio nell'Unione Europea entro settembre 2026 e negli Stati Uniti entro la fine dell'anno, introdurrà un flusso di cassa dedicato che permetterà agli utenti di registrarsi con uno pseudonimo o un'etichetta ID, ritirare i pacchi dagli armadietti automatici e ricevere gli ordini in confezioni senza marchio con etichette del mittente generiche. I corrieri comunicheranno i codici di ritiro esclusivamente via email o SMS e gli identificativi di spedizione verranno eliminati automaticamente dopo la consegna.

Trezor ha consigliato a tutti i clienti di rimanere vigili contro i tentativi di phishing via email, telefono o posta ordinaria e di non inserire mai le frasi di recupero del wallet sui siti web o condividerle con terze parti.

L'azienda ha confermato che ShipMonk ha messo in sicurezza i sistemi interessati e ha rafforzato la propria postura di sicurezza a seguito dell'incidente. Trezor continua a indagare sulle circostanze complete relative alla violazione.