Utenti di Trezor presi di mira da una campagna di phishing dopo la violazione del provider email di terze parti
Punti chiave
- •Trezor ha avvertito che un’email di phishing intitolata 'Critical Security Alert: STM32 Entropy Vulnerability' è stata inviata dopo una violazione del suo provider email di terze parti e non proveniva dall’azienda.
- •I messaggi fraudolenti hanno superato i controlli standard di autenticazione del mittente, inclusi DKIM, SPF e DMARC, perché provenivano da infrastrutture di invio realmente autorizzate associate al dominio trezor.io.
- •L’email di phishing sosteneva falsamente che circa un dispositivo Trezor su quattro contenesse un difetto di fabbrica nel generatore di numeri casuali dei microcontrollori STM32 e spingeva i destinatari a cliccare su un link per verificare il modello del dispositivo.
- •Trezor ha disattivato il dominio utilizzato nell’attacco e sta indagando su come gli hacker abbiano ottenuto l’accesso al suo dominio legittimo, ma non ha reso noto il provider email coinvolto né il numero dei destinatari.
- •La campagna di phishing segue la divulgazione da parte di Trezor dell’accesso non autorizzato presso il partner logistico ShipMonk, che ha coinvolto 13,689 utenti e successivamente altri 67,000 clienti negli US, sebbene l’azienda non abbia dichiarato se i due incidenti siano collegati.
Il produttore di hardware wallet Trezor, descritto come il secondo maggior produttore di dispositivi per l’archiviazione di criptovalute, ha avvertito gli utenti di una campagna di phishing avviata dopo una violazione del proprio provider email di terze parti. L’azienda ha confermato che un’email intitolata “Critical Security Alert: STM32 Entropy Vulnerability” non proveniva da Trezor e ha invitato i clienti a non cliccare sui link presenti nel messaggio.
Secondo un avviso pubblicato su X, gli aggressori hanno utilizzato l’infrastruttura compromessa per inviare falsi avvisi di sicurezza da una versione contraffatta del dominio ufficiale di posta di Trezor. I messaggi hanno superato i controlli standard di autenticazione del mittente. Trezor ha dichiarato di aver disattivato il dominio utilizzato nell’attacco e di stare indagando su come gli hacker abbiano ottenuto l’accesso al suo dominio legittimo. L’azienda non ha reso noto il provider coinvolto né il numero dei destinatari.
#PeckShieldAlert @Trezor has reported that their third-party email provider has been breached. A #phishing email titled 'Critical Security Alert: STM32 Entropy Vulnerability' is circulating, spoofing the address help@trezor.io – this is NOT a legitimate Trezor communication. Do… — PeckShieldAlert (@PeckShieldAlert) September 10, 2026
L’email di phishing era stata progettata per assomigliare a un avviso di sicurezza urgente. Sosteneva che circa un dispositivo Trezor su quattro contenesse un difetto di fabbrica nel generatore di numeri casuali dei relativi microcontrollori STM32. Secondo il messaggio, il presunto difetto lasciava le frasi seed dei wallet insufficientemente protette dagli attacchi brute-force e imponeva ai destinatari di seguire un link per verificare se il modello del loro dispositivo fosse interessato.
La credibilità tecnica della campagna potrebbe averla resa più convincente dei tentativi di phishing convenzionali. Marcello Paz, uno dei destinatari, ha riferito che l’email aveva superato la verifica del mittente di Gmail, con tutti i controlli di autenticazione DKIM, SPF e DMARC apparentemente validi per il dominio trezor.io. Il messaggio era stato inviato da “Trezor Security” attraverso una campagna Sendinblue, contribuendo ulteriormente alla sua apparente legittimità.
L’incidente mostra come gli aggressori che compromettono infrastrutture di comunicazione affidabili possano aggirare le protezioni generalmente associate all’autenticazione delle email. In questo caso, i messaggi fraudolenti provenivano da domini di invio realmente autorizzati, anziché da domini semplicemente contraffatti dagli aggressori.
Secondo incidente di sicurezza per Trezor negli ultimi mesi
La violazione segue una serie di informative sulla sicurezza che hanno coinvolto il settore degli hardware wallet e Trezor. Ad agosto, Trezor ha rivelato che il suo partner logistico ShipMonk aveva subito un accesso non autorizzato, con l’esposizione di informazioni sugli ordini relative al periodo dal May 10 al August 8. L’incidente ha interessato 13,689 utenti negli US, UK, Sweden, Colombia, Brazil, Italy e Portugal.
I dati personali di 11,742 clienti sono stati compromessi integralmente, mentre sono stati esposti i nomi, le città e gli indirizzi email di altri 1,947 clienti. Il September 4, Trezor ha reso noto che erano stati coinvolti altri 67,000 clienti negli US. Stime indipendenti indicavano che l’impatto complessivo avrebbe potuto superare 80,000 clienti.
Trezor ha informato gli utenti interessati della violazione di ShipMonk e li aveva avvertiti dell’aumento del rischio di phishing. L’azienda non ha dichiarato se i due incidenti siano collegati o se i dati dei clienti ottenuti nella violazione del partner logistico siano stati utilizzati per prendere di mira i destinatari della campagna attuale. Ulteriori aggiornamenti sul provider email, sul numero dei destinatari e sull’indagine in corso contribuirebbero a chiarire la portata della campagna e l’eventuale sovrapposizione con la precedente esposizione.
Gli utenti dovrebbero trattare con cautela le email che richiedono di cliccare su link o di fornire informazioni personali e verificare gli avvisi di sicurezza direttamente attraverso i canali ufficiali di Trezor, anziché tramite link incorporati. Il sito ufficiale di Trezor è L’avviso è stato inoltre discusso in questo post su X: https://x.com/PeckShieldAlert/status/2097863078406930739?ref_src=twsrc%5Etfw.
