Trezor ha ampliato la portata della violazione dei dati ShipMonk dopo aver scoperto che le informazioni personali di circa 67.000 clienti statunitensi aggiuntivi sono state esposte, con ordini interessati risalenti fino al 2019.

I clienti appena identificati hanno acquistato dispositivi Trezor tra novembre 2019 e agosto 2021. I record esposti includono nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d'ordine, ampliando considerevolmente un incidente inizialmente ritenuto limitato in gran parte agli acquisti recenti.

L'ampliamento illustra uno schema più ampio negli incidenti di sicurezza legati alle criptovalute: i portafogli hardware stessi vengono raramente violati, ma l'ecosistema circostante di spedizione, marketing e fornitori terzi è più volte diventato il punto debole da cui fuoriescono i dati dei clienti. Poiché la sicurezza dei portafogli hardware dipende dal fatto che chiavi private e frasi di recupero rimangano offline, gli aggressori spesso prendono di mira il fattore umano, utilizzando i dati personali trapelati per raggiungere direttamente i proprietari dei dispositivi.

ShipMonk ha conservato dati che Trezor riteneva eliminati

La scoperta è in netto contrasto con la politica di conservazione dei dati dei clienti di Trezor. Secondo l'azienda, ShipMonk aveva ripetutamente fornito assicurazioni scritte che le informazioni di spedizione più vecchie erano state eliminate in conformità con i requisiti contrattuali, la politica sui dati di Trezor e le comunicazioni precedenti tra le due società.

Il produttore di portafogli hardware ha divulgato per la prima volta la violazione ShipMonk il 13 agosto, dopo aver appreso che attori non autorizzati avevano accesso alle informazioni dei clienti detenute dal fornitore logistico. Quella prima indagine aveva identificato 11.742 clienti i cui nomi, email, numeri di telefono e indirizzi di spedizione erano stati esposti, oltre ad altri 1.947 clienti con esposizione parziale.

Al momento della prima divulgazione, si prevedeva che un requisito di eliminazione di 90 giorni avrebbe limitato la violazione agli ordini recenti. I record 2019–2021 appena scoperti dimostrano che informazioni sui clienti considerevolmente più vecchie sono rimaste nei sistemi di ShipMonk nonostante tali requisiti.

Il divario tra gli impegni contrattuali di eliminazione e la conservazione effettiva dei dati è un problema ricorrente nella gestione del rischio dei fornitori: le aziende che esternalizzano la logistica si affidano tipicamente alle attestazioni dei fornitori, e tali assicurazioni vengono messe alla prova solo quando un incidente rivela quali dati persistono realmente nell'infrastruttura del fornitore.

Trezor ha sottolineato che i propri sistemi, firmware, chiavi private e backup dei portafogli non sono stati compromessi. L'esposizione si è verificata all'interno dell'infrastruttura di evasione degli ordini di ShipMonk anziché nei portafogli hardware stessi.

I dati di spedizione creano un rischio di phishing mirato

Nomi, numeri di telefono e indirizzi di consegna fisici possono fornire agli aggressori informazioni sufficienti per costruire tentativi di phishing altamente personalizzati mirati specificamente ai proprietari noti di portafogli hardware. Sapere che una famiglia ha ricevuto un portafogli hardware anni fa costituisce un'informazione di targeting preziosa, poiché un messaggio apparentemente credibile su un "richiamo del dispositivo" o una "verifica del backup" può fare riferimento a una cronologia di ordini reale.

Le vittime potrebbero ricevere email fraudolente, telefonate o lettere fisiche che si spacciano per Trezor, exchange di criptovalute, banche o società di consegna. Trezor sta istruendo i clienti a non divulgare mai né inserire un backup del portafoglio in risposta a qualsiasi comunicazione che affermi che un dispositivo, un account o una frase di recupero richiede una verifica urgente. Trezor ha da tempo dichiarato che non chiederà mai ai clienti la propria seed di recupero, una regola che vale per qualsiasi contatto non sollecitato.

L'azienda ha già affrontato in passato rischi di esposizione legati a terze parti. Un separato incidente su Trezor.io nel dicembre 2025 ha coinvolto attività sospette legate a un servizio esterno, sebbene in quel caso non siano stati compromessi database, dispositivi o software dei portafogli.

I piani per la consegna anonima acquistano urgenza

Trezor sta sviluppando un'opzione di consegna anonima (Anonymous Delivery) concepita per ridurre la quantità di informazioni personali identificabili associate agli acquisti di portafogli hardware. Le funzionalità previste includono il ritiro in armadietti, imballaggi neutri, informazioni sul mittente generiche e l'eliminazione automatica degli identificatori di spedizione dopo la consegna.

Il servizio era previsto per la disponibilità in Europa intorno a settembre 2026, con un lancio negli Stati Uniti pianificato entro la fine dell'anno. Il fallimento di conservazione appena divulgato aumenta la pressione su quella tempistica, poiché l'incidente dimostra concretamente per quanto tempo i dati di spedizione dei clienti possono persistere oltre la finestra di eliminazione dichiarata da un fornitore.

I record storici appena scoperti aumentano l'esposizione nota dalla violazione ShipMonk ben oltre i 13.689 clienti originari, con circa 67.000 acquirenti statunitensi aggiuntivi da novembre 2019 ad agosto 2021 ora in fase di notifica.

Fonte: Crypto Adventure