Trezor ha confermato giovedì che una violazione presso uno dei suoi partner per le spedizioni ha esposto i dati personali di 13.689 clienti. Sono stati sottratti nomi, indirizzi di casa, numeri di telefono e indirizzi email.
Nessuna crypto è stata movimentata. Trezor dichiara che i suoi sistemi, i dispositivi e i backup dei wallet dei clienti non sono mai stati toccati. Il danno riguarda esclusivamente un fornitore esterno.
Cosa ha esposto la violazione dei dati di Trezor
ShipMonk conserva e spedisce gli ordini Trezor. Il 10 agosto ha comunicato a Trezor che un intruso aveva avuto accesso ai sistemi contenenti i dati dei clienti.
L’esposizione si divide in due casi. Circa 11.742 acquirenti hanno visto compromessi tutti i dati, cioè nome, email, numero di telefono e indirizzo di spedizione completo. Altri 1.947 hanno perso solo nome, città ed email.
Tempistiche diverse definiscono chi è stato coinvolto. La fuga di dati riguarda gli ordini consegnati tra il 10 maggio e l’8 agosto di quest’anno negli Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo.
Gli acquirenti più vecchi sono stati risparmiati grazie a una regola. Trezor impone ai partner di cancellare o anonimizzare i dati degli ordini 90 giorni dopo la consegna, quindi le spedizioni precedenti erano già state eliminate.
Esiste un test semplice: i clienti coinvolti hanno ricevuto un’email da [email protected]. Se non hai ricevuto questa email, i tuoi dati non sono stati esposti.
Un dettaglio fa male: ShipMonk possiede la certificazione SOC 2 Type II, uno standard di sicurezza verificato tramite audit, ed è stata comunque violata.
Perché un indirizzo trapelato è peggio di una sola email
Una sola email serve a poco a uno scammer. Nome, indirizzo di casa e numero di telefono insieme hanno un valore molto maggiore. Identificano una persona specifica a una porta precisa come acquirente di crypto.
Trezor ha spiegato in dettaglio lo schema utilizzato. Gli scammer possono inviare email false, effettuare chiamate fraudolente, spedire lettere truffaldine o fingersi una banca, un exchange o Trezor stesso.
Questo schema ha precedenti. Ledger ha perso circa un milione di email di clienti a luglio 2020. Per circa 9.500 di questi acquirenti sono stati esposti anche i dati postali completi e lettere fraudolente con la falsa recovery phrase sono arrivate anni dopo a casa loro.
Ora confrontiamo le dimensioni dell’accaduto: la violazione di Trezor ha esposto gli indirizzi completi di 11.742 persone, più delle 9.500 colpite nell’attacco a Ledger nel 2020.
Il CEO di Ledger, Pascal Gauthier, ha risposto alla stessa paura nel 2020, e il ragionamento rimane valido.
“Non esiste nessun modo per collegare i dati trapelati con i fondi presenti nel wallet”, si legge in un estratto dell’annuncio di Ledger.
Gli attaccanti già puntavano il brand. Un recentissimo annuncio phishing su Trezor è stato pubblicato pochi giorni prima di questa rivelazione. Separatamente, false chiamate di supporto hanno prosciugato milioni di dollari ai possessori quest’anno.
I fornitori continuano a rivelarsi l’anello debole. La violazione del processore di pagamenti di Ledger ha esposto i dati degli ordini dei clienti a gennaio.
Cosa dovrebbero fare ora i possessori di Trezor
Il consiglio è semplice e funziona: considera ogni urgenza come un campanello di allarme. Verifica qualsiasi evento sospetto tramite i canali ufficiali di Trezor. Non digitare mai il backup del wallet su un sito web.
“Non inserire mai il backup del tuo wallet su un sito web né condividerlo con qualcun altro,” ha scritto Trezor in un post sul blog.
Due abitudini riducono l’esposizione futura: effettua l’ordine utilizzando un’email che non sia collegata al tuo vero nome e, ove possibile, paga in crypto.
Trezor ha anche promesso un’opzione di Consegna Anonima basata su ritiro in locker e confezione neutra. L’obiettivo è attivarla nell’UE entro settembre e negli Stati Uniti entro la fine del 2026.
Trezor dichiara che questa è la prima violazione dal 2013 che espone numeri di telefono e indirizzi di spedizione dei clienti. L’hardware resta sicuro. Il punto debole non è mai stato il dispositivo, ma la scatola in cui arriva.
