Il produttore di portafogli hardware per criptovalute Trezor ha avvertito giovedì di un rischio di phishing elevato a seguito di una violazione dei dati presso il suo provider logistico di terze parti, ShipMonk, che ha esposto le informazioni personali di 13.689 clienti. I dati compromessi includono nomi, indirizzi, numeri di telefono e indirizzi email.

L'azienda ha dichiarato che non ci sono prove che backup di portafogli, detenzioni di criptovalute o sistemi interni di Trezor siano stati compromessi. Tuttavia, Trezor ha avvertito che i dati dei clienti trapelati potrebbero essere sfruttati per creare truffe di phishing più convincenti contro le persone colpite.

Dettagli della Violazione

ShipMonk ha informato Trezor il 10 agosto 2026 che un attore non autorizzato aveva accesso ai sistemi contenenti i dati dei clienti. ShipMonk, un provider di adempimento e-commerce con sede negli Stati Uniti, gestisce i servizi logistici per Trezor, inclusa la conservazione e la spedizione dei prodotti in molteplici mercati.

Dei 13.689 clienti colpiti, 11.742 hanno avuto esposti i propri nomi completi, indirizzi email, numeri di telefono e indirizzi di spedizione. I restanti 1.947 clienti hanno subito la compromissione di informazioni parziali, tra cui nomi, nomi di città e indirizzi email. Trezor continua a collaborare con ShipMonk per determinare la finestra esatta di esposizione per quei 1.947 clienti.

I record colpiti riguardavano principalmente ordini di nuovi clienti effettuati tra il 10 maggio e l'8 agosto 2026 e spedizioni negli Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo.

Trezor ha condiviso la notizia pubblicamente tramite il suo account ufficiale X:

We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…

— Trezor (@Trezor) August 13, 2026

https://x.com/Trezor/status/2087885428313543059

Conservazione dei Dati e Notifica ai Clienti

Trezor ha dichiarato che la sua politica di conservazione dei dati di 90 giorni con i partner logistici ha contribuito a limitare la portata dell'incidente, poiché le informazioni sugli ordini precedenti erano già state eliminate o anonimizzate.

I clienti colpiti sono stati informati singolarmente via email da help@trezor.io. I clienti che non hanno ricevuto alcuna notifica non sono interessati, secondo l'azienda.

Nessuna Compromissione dei Sistemi o dei Portafogli Trezor

Trezor ha confermato che non ci sono indicazioni che i propri sistemi interni, portafogli hardware o backup di portafogli siano stati compromessi. L'azienda ha ribadito che i clienti non dovrebbero mai inserire il proprio backup del portafoglio online né condividerlo con nessuno.

Il rischio principale derivante dalla violazione deriva dalle informazioni personali esposte, che potrebbero essere utilizzate per impersonare Trezor o creare comunicazioni fraudolente più convincenti.

Rischio di Phishing Derivante dai Dati Esposti

Nomi, numeri di telefono, indirizzi email e dettagli di spedizione possono fornire agli aggressori informazioni contestuali per campagne di phishing mirate. Un messaggio che fa riferimento al nome di un cliente, a un recente acquisto Trezor o ai dettagli di consegna può apparire più credibile di una truffa generica.

Gli aggressori potrebbero successivamente tentare di persuadere le vittime a divulgare informazioni sensibili, a cliccare su link malevoli o a rivelare il proprio backup del portafoglio. Si consiglia agli utenti Trezor di prestare particolare attenzione ai messaggi non richiesti che riguardano la sicurezza del portafoglio, problemi di account, rimborsi, consegne o altre questioni urgenti.

Risposta di Trezor e Misure Pianificate

Trezor ha descritto l'incidente come la prima violazione dalla sua fondazione nel 2013 a esporre numeri di telefono e indirizzi di spedizione dei clienti, e l'azienda si è scusata con gli utenti colpiti.

L'azienda prevede di introdurre un'opzione di Consegna Anonima con checkout dedicato, ritiro presso armadietti, imballaggio neutro ed eliminazione automatica degli identificativi di spedizione. Trezor punta a lanciare il servizio nell'UE entro settembre 2026 e negli Stati Uniti entro la fine del 2026.

Cronologia di Incidenti con Terze Parti

La violazione di ShipMonk segue precedenti incidenti di sicurezza coinvolgenti provider di terze parti di Trezor. A gennaio 2024, un accesso non autorizzato al portale di supporto di terze parti di Trezor ha potenzialmente esposto i nomi e gli indirizzi email di circa 66.000 utenti. Una separata violazione di Mailchimp nel 2022 ha colpito anch'essa i clienti Trezor ed è stata seguita da campagne di phishing mirate agli utenti di criptovalute.

Anche altri produttori di portafogli hardware hanno subito incidenti simili. Ledger ha subito una grave violazione dei dati nel 2020 che ha esposto più di 1 milione di indirizzi email e centinaia di migliaia di record di clienti, alcuni dei quali sono stati successivamente utilizzati in truffe legate alle criptovalute.

Implicazioni di Sicurezza Più Ampie

Questi incidenti evidenziano una più ampia sfida di sicurezza per gli utenti di portafogli hardware: gli aggressori non necessariamente hanno bisogno di accedere a un portafoglio o alle sue chiavi crittografiche per colpirne il proprietario. Le informazioni personali ottenute attraverso una violazione di terze parti possono essere sufficienti per far apparire legittima una truffa. Il pattern ricorrente di esposizioni da parte dei fornitori nell'industria dei portafogli hardware sottolinea inoltre che le soluzioni di auto-custodia, pur proteggendo le chiavi private, dipendono ancora da catene di approvvigionamento fisiche e provider di servizi che creano superfici di dati oltre il portafoglio stesso. I clienti colpiti negli Stati membri dell'UE e in altre giurisdizioni con normative sulla protezione dei dati potrebbero avere diritti aggiuntivi riguardo ai propri dati personali esposti.