Una terza parte non autorizzata ha avuto accesso ai dati dei clienti in possesso del partner di fulfillment di Trezor. La violazione riguarda 13.689 clienti in sette paesi. Per 11.742 di essi, l'esposizione comprende nome completo, indirizzo di consegna, numero di telefono e indirizzo email.

Trezor è un marchio di hardware wallet di proprietà dell'azienda ceca SatoshiLabs, che nel 2013 ha portato sul mercato il primo hardware wallet per criptovalute ampiamente disponibile. I suoi dispositivi conservano le chiavi private offline, separate da internet, il che li colloca tra le forme più sicure di autocustodia. Proprio questa attenzione alla sicurezza rende preziosa la lista dei clienti, perché chiunque vi figuri molto probabilmente possiede criptovalute. L'incidente riguarda ordini effettuati nel periodo tra il 10 maggio e l'8 agosto 2026, con spedizioni verso Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Il fornitore di servizi coinvolto è ShipMonk, un'azienda di fulfillment con sede a Fort Lauderdale, in Florida, che gestisce magazzini in Nord America ed Europa per commercianti online. Secondo l'azienda, dispositivi, chiavi private e backup del wallet non sono stati toccati. In risposta, il produttore ha inoltre annunciato un'opzione di spedizione anonima.

Cosa ha rivelato la violazione dei dati di Trezor presso ShipMonk

ShipMonk ha informato Trezor l'11 agosto 2026 dell'accesso non autorizzato ai sistemi contenenti dati dei clienti. Poiché Trezor vende i propri dispositivi online, la consegna è gestita da partner esterni. I fornitori di fulfillment si occupano di stoccaggio, prelievo e spedizione e hanno quindi bisogno di indirizzi di consegna completi e di recapiti dei clienti finali: senza questi dati, nessun pacco viene consegnato. Proprio questo insieme di dati è rimasto esposto. Due giorni dopo, l'azienda ha reso pubblico il caso.

I clienti colpiti si dividono in due gruppi. Per 11.742 clienti l'esposizione è completa e comprende nome, indirizzo di consegna, numero di telefono e indirizzo email. Per altri 1.947 si limita a nome, città ed email. Insieme, i due gruppi costituiscono i 13.689 casi segnalati. Nomi e numeri di telefono consentono chiamate di phishing mirate, mentre l'indirizzo di consegna rende il titolare localizzabile fisicamente.

Secondo l'azienda, l'accesso non ha riguardato né i dispositivi né le chiavi private o i backup del wallet, e anche i sistemi di Trezor sono rimasti fuori dalla portata degli attaccanti. Nel complesso, l'incidente colpisce lo strato logistico attorno al prodotto. Il produttore attribuisce la portata limitata a una rigorosa politica di conservazione dei dati di 90 giorni, che si applica contrattualmente anche ai partner di fulfillment. Presso di essi i dati di ordini più vecchi non esistono più, quindi le spedizioni precedenti cadono fuori dal periodo interessato. Trezor ha inoltre informato singolarmente via email ogni cliente coinvolto e ha presentato scuse pubbliche per l'incidente. Le indagini continuano e gli aggiornamenti saranno pubblicati sul blog aziendale.

Perché una lista di indirizzi mette a particolare rischio i detentori di criptovalute

Una lista di acquirenti di hardware wallet non è una normale base clienti. Chiunque colleghi un indirizzo di casa a un acquisto Trezor identifica un probabile bersaglio, poiché quell'acquirente molto probabilmente detiene un patrimonio in criptovalute più consistente.

Il precedente risale al 2020. Presso il concorrente Ledger, con sede a Parigi, gli attaccanti sottrassero circa 1,1 milioni di indirizzi email attraverso un'interfaccia di terze parti. Ottennero inoltre circa 272.000 record dettagliati con nome completo, numero di telefono e indirizzo postale. Nel dicembre 2020 quei dati finirono infine online pubblicamente. Poco dopo, ampie campagne di phishing ed estorsione colpirono i clienti di Ledger, in alcuni casi con minacce alla loro incolumità fisica. Ledger in seguito affrontò l'incidente in una dichiarazione pubblica.

Il panorama delle minacce è peggiorato da allora. Chainalysis, società di analisi blockchain con sede a New York, ha contato 46 incidenti violenti legati alle criptovalute in tutto il mondo nel primo semestre del 2026, contro 40 un anno prima. Questi cosiddetti "wrench attack" includono rapimenti, intrusioni domestiche e sequestri di persona. Gli autori si sono impossessati di circa 30 milioni di USD nel solo primo semestre dell'anno e in totale hanno tentato di ottenere 107 milioni di USD. Secondo Chainalysis, il 2026 è in corsa per superare il record annuale del 2025, fissato a 58 milioni di USD. Il tasso di successo degli attaccanti è però sceso dal 49% del 2025 al 26%: il numero di tentativi aumenta, mentre meno di questi vanno a buon fine.

Su piano regionale, spicca la Francia. Chainalysis conta 30 incidenti pubblicamente noti, mentre le autorità ne hanno registrati più di 70. La società di analisi individua come una delle cause una violazione dei dati presso l'amministrazione fiscale. La fuga di dati risale al 2024 e ha riguardato l'area della Grande Parigi. Un funzionario avrebbe rubato e venduto documenti di proprietari facoltosi di criptovalute, inclusi nomi, indirizzi, numeri di telefono e patrimoni detenuti. Gruppi criminali hanno poi utilizzato quel materiale per pianificare i propri attacchi, scegliendo i bersagli in base ai patrimoni registrati. In definitiva, il percorso da una lista di indirizzi fino alla porta di casa è documentato.

La consegna anonima come risposta al problema degli indirizzi

Circa un'ora dopo il primo avviso, Trezor ha annunciato un'opzione chiamata "Anonymous Delivery". Essa riguarda esattamente la categoria di dati rimasta esposta presso ShipMonk. I clienti inseriscono al checkout un soprannome o un'etichetta ID al posto della propria identità reale. La spedizione viene quindi inviata a una stazione automatica per pacchi, dove gli acquirenti la ritirano di persona. Armadietti automatici di questo tipo costituiscono già in gran parte d'Europa un formato di consegna affermato. Nome reale e indirizzo di casa non si trovano più insieme presso il fornitore di servizi, e scompare il corriere con nome e indirizzo alla porta di casa.

Inoltre, l'imballaggio resta anonimo e reca un mittente generico, e il fornitore invia il PIN di ritiro solo via email o SMS. Le stazioni di ritiro sostituiscono l'indirizzo di casa come punto di consegna e il nome reale dell'acquirente non compare più sulla spedizione. Un fornitore di servizi compromesso rivelerebbe di conseguenza soltanto pseudonimi e punti di ritiro. Trezor definisce il progetto la propria attuale massima priorità.

L'opzione dovrebbe essere disponibile nell'UE da settembre 2026. Negli Stati Uniti è attesa verso la fine del 2026. Fino ad allora, gli ordini continueranno a seguire i canali esistenti. Nel frattempo, la tempistica mostra i limiti dell'annuncio: per i 13.689 clienti già colpiti, la nuova opzione di spedizione non cambia nulla. In definitiva, l'annuncio è l'ammissione che i dati di spedizione rappresentano di per sé un problema di sicurezza.

Obblighi di segnalazione e il pattern dietro l'incidente

Dietro Trezor c'è SatoshiLabs, con sede nella Repubblica Ceca, quindi all'incidente si applica la normativa europea sulla protezione dei dati. Il Regolamento generale sulla protezione dei dati (GDPR) richiede la segnalazione all'autorità di controllo entro 72 ore, in particolare quando una violazione pone a rischio le persone coinvolte. Per le violazioni del regolamento, il quadro prevede multe fino a 20 milioni di EUR o al 4% del fatturato annuo mondiale di un'azienda. La giurisdizione in questo caso spetterebbe all'autorità di controllo ceca ÚOOÚ. Poiché il termine decorre dalla conoscenza della violazione, il conteggio è iniziato l'11 agosto 2026. Tuttavia, non è documentato pubblicamente se e quando Trezor abbia presentato tale segnalazione. Oltre all'UE, i sette paesi coinvolti fanno entrare in gioco ulteriori regimi di notifica; negli Stati Uniti, tutti e cinquanta gli stati dispongono di proprie norme sulla notifica delle violazioni dei dati.

Anche Trezor ha già incontrato questo meccanismo. Nell'aprile 2022, attaccanti compromisero il suo account newsletter presso il provider di email Mailchimp e lo usarono per inviare ai clienti email di phishing su una presunta violazione dei dati; Trezor confermò all'epoca che nessuna tale violazione era avvenuta. Colpisce la ricorrenza del pattern. In tutti questi casi, i dati si trovavano al di fuori dei sistemi controllati direttamente dagli utenti di criptovalute: in precedenza un'interfaccia di marketing, un account newsletter e un'autorità fiscale, ora un fornitore di spedizioni. Di conseguenza, i fornitori terzi costituiscono un vettore d'attacco ricorrente contro i detentori di criptovalute. La crittografia dei dispositivi non è mai stata il problema. Per gli acquirenti, la sicurezza della custodia inizia dall'ordine, e la logistica che sta dietro rimane vulnerabile.