Trezor ha comunicato che altri 67.000 clienti negli Stati Uniti sono rimasti coinvolti in una violazione dei dati riguardante il suo fornitore di spedizioni ShipMonk, ampliando in modo significativo il numero di utenti esposti nell'incidente. La nuova comunicazione accresce le preoccupazioni sulla protezione delle informazioni dei clienti in possesso di fornitori terzi utilizzati dalle società di criptovalute.

Il produttore di hardware wallet, gestito dalla società ceca SatoshiLabs, ha dichiarato il 4 settembre che i nuovi record identificati appartenevano a clienti statunitensi che avevano effettuato ordini tra novembre 2019 e agosto 2021. Le informazioni esposte includevano nomi dei clienti, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d'ordine.

Con l'ultima comunicazione, il numero totale di clienti Trezor coinvolti nella violazione di ShipMonk sale a 80.689, di cui oltre 67.000 hanno sede negli Stati Uniti.

L'incidente è emerso per la prima volta il 13 agosto, quando Trezor ha riferito che ShipMonk, un fornitore terzo di evasione ordini, aveva notificato alla società un accesso non autorizzato a sistemi contenenti informazioni sui clienti. All'epoca, la violazione era stata riferita come relativa a clienti negli Stati Uniti, nel Regno Unito, in Svezia, Colombia, Brasile, Italia e Portogallo i cui ordini erano stati evasi nei 90 giorni precedenti l'8 agosto.

La comunicazione iniziale riguardava quasi 14.000 clienti

La comunicazione iniziale di Trezor aveva identificato 11.742 clienti i cui nomi, indirizzi email, numeri di telefono e indirizzi di spedizione erano stati esposti. Altri 1.947 clienti erano stati identificati come aventi informazioni parziali esposte, tra cui nomi, città e indirizzi email.

I nuovi record resi noti aumentano considerevolmente la portata dell'incidente. A differenza dei clienti identificati durante l'indagine iniziale, gli ulteriori utenti statunitensi avevano effettuato ordini in un periodo molto più lungo, coprendo transazioni effettuate tra novembre 2019 e agosto 2021.

Trezor ha dichiarato di aver contattato tutti i clienti identificati come coinvolti nella violazione. La società ha indicato che i clienti che non hanno ricevuto un'email di notifica non devono essere considerati parte del nuovo gruppo identificato.

La società ha inoltre sottolineato che la violazione non ha compromesso i suoi hardware wallet né i sistemi interni. Secondo Trezor, i dispositivi dei clienti restano sicuri nonostante l'esposizione di informazioni personali attraverso il suo fornitore esterno di spedizioni. Gli hardware wallet come quelli di Trezor conservano le chiavi private degli utenti offline, motivo per cui una violazione dei dati d'ordine non consente di per sé agli aggressori di accedere ai fondi.

Utenti avvisati di possibili attacchi successivi

Sebbene la società abbia affermato che i dispositivi hardware e i propri sistemi non sono stati compromessi, l'esposizione di nomi, informazioni di contatto e indirizzi di spedizione potrebbe creare rischi di sicurezza aggiuntivi per i clienti coinvolti.

Trezor ha invitato gli utenti a restare cauti nei confronti di comunicazioni che sembrano provenire dalla società o da altri servizi affidabili. Le minacce potenziali includono email fraudolente, telefonate e lettere fisiche concepite per sfruttare le informazioni ottenute tramite la violazione. La disponibilità degli indirizzi di spedizione genera inoltre preoccupazioni che vanno oltre la frode digitale, in particolare per gli utenti che potrebbero possedere hardware per criptovalute con accesso a cospicui asset digitali.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor ha invitato i clienti coinvolti a restare all'erta rispetto a tentativi di phishing, truffe mediante impersonificazione e potenziali minacce alla sicurezza fisica in seguito all'esposizione delle loro informazioni personali. La preoccupazione è ben fondata sul precedente: nel 2020, il produttore concorrente di hardware wallet Ledger ha subito una violazione del proprio database di e-commerce che ha esposto circa un milione di indirizzi email di clienti e ha in seguito alimentato un'ondata di attacchi di phishing, dimostrando come i dati d'ordine trafugati possano essere sfruttati a lungo tempo dopo l'incidente iniziale.

Le affermazioni sulla cancellazione dei dati sotto esame

La violazione ha inoltre sollevato interrogativi su come i record dei clienti siano stati gestiti da ShipMonk dopo che Trezor ne aveva richiesto la rimozione. Trezor ha dichiarato di aver più volte chiesto e ottenuto rassicurazioni scritte dal fornitore di spedizioni in merito alla cancellazione delle informazioni relative ai clienti.

Tuttavia, la società ha affermato che i dati sono rimasti nei sistemi di ShipMonk nonostante tali rassicurazioni. Questo sviluppo ha aggiunto un ulteriore livello all'incidente, spostando l'attenzione sulle pratiche di conservazione dei dati e sulle tutele applicate dai fornitori terzi.

L'episodio evidenzia una sfida più ampia per i produttori di hardware wallet, che potrebbero dover bilanciare la sicurezza del prodotto con la protezione delle informazioni dei clienti raccolte durante acquisti e consegne. Sebbene non sia stato riportato che i dispositivi wallet stessi siano stati compromessi, i record personali esposti possono fornire agli aggressori informazioni utilizzabili in campagne mirate di ingegneria sociale. Ciò solleva anche domande che i clienti potrebbero rivolgere sempre più spesso alle società crypto e ai loro fornitori: per quanto tempo vengono conservati i dati d'ordine, chi vi ha accesso e se le richieste di cancellazione siano effettivamente verificate anziché semplicemente accettate sulla base di una rassicurazione scritta.

Mentre le indagini continuano, è probabile che i clienti coinvolti affrontino un aumento dei tentativi di impersonificazione e frode. L'espansione della violazione sottolinea i rischi di sicurezza associati ai dati dei clienti conservati al di fuori dell'infrastruttura di una società di criptovalute, anche quando i sistemi di hardware wallet sottostanti restano intatti.