Trezor ha informato i clienti di una violazione dei dati involving ShipMonk, un provider logistico di terze parti che gestisce l'evasione di alcuni ordini Trezor. Sebbene nessun wallet di criptovalute, chiave privata o sistema interno Trezor sia stato compromesso, le informazioni personali esposte potrebbero consentire campagne di phishing più convincenti contro gli utenti interessati.

Dettagli della violazione ShipMonk

Il 10 agosto, ShipMonk ha informato Trezor che una terza parte non autorizzata aveva accesso ai sistemi contenenti i dati degli ordini dei clienti. Trezor ha dichiarato che le indagini sono in corso.

Secondo le stime di Trezor, 11.742 clienti hanno avuto esposti nomi, indirizzi email, numeri di telefono e indirizzi di spedizione. Altri 1.947 clienti potrebbero aver avuto nomi, informazioni sulla località a livello di città e indirizzi email consultati.

Gli ordini interessati riguardano inizialmente clienti in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo che hanno ricevuto ordini durante il periodo rilevante.

Trezor applica una politica di conservazione dei dati di 90 giorni, il che significa che ShipMonk avrebbe dovuto avere accesso ai dati storici solo per una finestra di 90 giorni. Tuttavia, l'azienda ha avvertito che alcuni dei 1.947 record parzialmente esposti potrebbero includere ordini più vecchi, un dettaglio ancora in fase di conferma con il provider logistico.

I clienti che hanno ricevuto una notifica email ufficiale da help@trezor.io dovrebbero presumere che le proprie informazioni siano state esposte. Trezor ha dichiarato che le persone che non hanno ricevuto tale email non sono interessate.

Sicurezza del wallet intatta

La violazione non ha interessato i sistemi interni, i dispositivi hardware o i backup dei wallet di Trezor. Nessuna chiave privata o seed di recupero è stata consultata.

Rischio principale: phishing mirato

I dati personali rubati potrebbero consentire ai criminali di creare truffe altamente convincenti. Il vero nome di una vittima, il numero di telefono o l'indirizzo di consegna potrebbero essere sfruttati per impersonare Trezor, un exchange di criptovalute, una banca o un'altra entità affidabile. Gli aggressori potrebbero utilizzare email, chiamate telefoniche o persino posta fisica per pressare gli utenti a divulgare informazioni sensibili.

Il rischio è amplificato dalla natura dell'elenco esposto: i clienti che hanno acquistato un hardware wallet si sono di fatto autoidentificati come titolari di criptovalute, rendendoli obiettivi sproporzionatamente attraenti per campagne di ingegneria sociale. Questo modello è già stato osservato in precedenza nel settore degli hardware wallet — una violazione nel 2020 presso Ledger ha esposto i dati personali di oltre 270.000 clienti ed è stata seguita da attacchi di phishing persistenti e tentativi di estorsione che sono continuati per anni.

Trezor consiglia ai clienti potenzialmente interessati di prestare particolare attenzione ai messaggi che creano urgenza o richiedono dettagli personali. Soprattutto, gli utenti non dovrebbero mai inserire il backup del wallet o il seed di recupero in alcun sito web. Trezor ha sottolineato che l'assistenza clienti legittima non chiederà mai agli utenti di rivelare il backup del proprio wallet.

Misure di privacy per ordini futuri

In risposta all'incidente, Trezor sta evidenziando le misure che i clienti possono adottare per ridurre l'esposizione delle informazioni personali durante l'acquisto di hardware wallet. L'azienda consiglia di utilizzare un indirizzo email non collegato a un nome reale, pagare con criptovaluta ove possibile e utilizzare una casella postale per la consegna.

Inoltre, Trezor sta sviluppando una funzione di consegna anonima progettata per minimizzare l'esposizione dei dettagli di spedizione. La funzione pianificata include opzioni come ritiro in armadietto, imballaggio neutro, informazioni mittente generiche ed eliminazione automatica degli identificativi di spedizione al momento della consegna. Se implementate, tali misure potrebbero stabilire un nuovo standard operativo di privacy tra i produttori di hardware wallet, molti dei quali si affidano ancora a catene di evasione e-commerce convenzionali che conservano record dei clienti identificabili.

Fonte: Dichiarazione ufficiale Trezor