Un fornitore di logistica che gestisce le spedizioni per Trezor è stato colpito da un attacco informatico che ha esposto i dati personali di migliaia di clienti. La violazione dati clienti ShipMonk riguarda nomi, indirizzi di spedizione, numeri di telefono ed email di chi ha acquistato un portafoglio hardware Trezor tra il 10 maggio e l’8 agosto 2026. L’azienda ceca ha confermato l’incidente il 10 agosto 2026, precisando che i propri sistemi interni e i dispositivi Trezor non sono stati toccati.
Summary
Punti chiave
- ShipMonk, partner logistico di Trezor, ha subito un accesso non autorizzato ai propri sistemi tra il 10 maggio e l’8 agosto 2026.
- Circa 13.689 clienti risultano coinvolti: 11.742 con esposizione completa (nome, email, telefono, indirizzo) e 1.947 con dati parziali (nome, città, email).
- Trezor ha contattato via email tutti i clienti coinvolti dall’indirizzo [email protected]: chi non ha ricevuto la comunicazione non è stato colpito.
- I dispositivi Trezor e i sistemi interni dell’azienda restano sicuri; il rischio principale è un possibile aumento dei tentativi di phishing.
- Trezor punta a lanciare un’opzione di consegna anonima nell’UE entro settembre 2026 e negli USA entro fine 2026.
La violazione dei dati clienti ShipMonk: cosa è stato esposto
Lunedì 10 agosto 2026 ShipMonk ha informato Trezor di un accesso non autorizzato ai sistemi contenenti gli ordini dei clienti. L’indagine è ancora in corso, ma l’azienda ha già chiarito la natura dei dati sottratti: nomi completi, indirizzi di spedizione, numeri di telefono e indirizzi email legati agli ordini effettuati tra il 10 maggio e l’8 agosto 2026.
Secondo quanto riportato da Trezor, l’incidente ha colpito clienti che hanno ricevuto ordini da Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Gli acquisti effettuati tramite Amazon non sono stati coinvolti, perché gestiti da un partner di distribuzione diverso da ShipMonk.
Quanti clienti sono coinvolti
Il conteggio complessivo si attesta su circa 13.689 persone. Di queste, 11.742 hanno subito un’esposizione completa dei dati, comprensiva di indirizzo di spedizione e numero di telefono. Le restanti 1.947 hanno visto trapelare solo nome, città ed email, senza indirizzo fisico: secondo un aggiornamento successivo di Trezor, questo secondo gruppo potrebbe includere anche ordini più vecchi, un dettaglio che l’azienda sta ancora verificando insieme a ShipMonk.
Trezor: dispositivi al sicuro, clienti avvisati singolarmente
I sistemi interni di Trezor e i dispositivi hardware dei clienti non sono stati compromessi in alcun modo: la falla riguarda esclusivamente l’infrastruttura del fornitore terzo. Tutti i clienti coinvolti sono stati contattati individualmente via email dall’indirizzo [email protected], e chi non ha ricevuto quella comunicazione può considerarsi escluso dall’incidente.
Trezor ha inoltre precisato di non avere ancora riscontrato casi confermati di pubblicazione, vendita o utilizzo improprio dei dati sottratti, né tentativi di truffa direttamente collegati all’episodio. Si tratta comunque della prima volta, nei tredici anni di storia dell’azienda, che una violazione espone numeri di telefono e indirizzi di spedizione dei clienti.
Perché conta: per un produttore di hardware wallet, la fiducia nella catena di custodia dei dati è quasi altrettanto importante della sicurezza crittografica dei dispositivi. Anche se le chiavi private non sono mai a rischio in episodi come questo, la fuga di indirizzi fisici collegati al possesso di crypto apre scenari ben più concreti del semplice phishing digitale.
Il rischio phishing dopo l’esposizione dei dati
Il pericolo immediato per i clienti colpiti riguarda un possibile aumento di tentativi di phishing più sofisticati, via email, telefono o posta ordinaria. I truffatori potrebbero usare le informazioni sottratte per impersonare banche, exchange crypto o persino la stessa Trezor, chiedendo dati sensibili o inducendo ad azioni immediate.
Trezor raccomanda di diffidare da qualunque comunicazione che richieda urgenza o informazioni personali, di verificare sempre i contenuti confrontandoli con i canali ufficiali dell’azienda e, soprattutto, di non inserire mai il backup del proprio wallet su siti web né condividerlo con terzi.
Il contesto in cui si inserisce l’episodio non è isolato. Secondo dati della società di cybersecurity SentinelOne, le violazioni informatiche globali sono aumentate del 17% rispetto al 2025, con una media di 2.090 attacchi nel mondo ogni settimana, in crescita del 3% mese su mese da gennaio. Chi possiede crypto, inoltre, è sempre più esposto anche a rischi fisici: secondo Certik, gli attacchi di coercizione in presenza legati a portafogli digitali hanno superato i 124 milioni di dollari solo nel primo semestre 2026, anche se non tutti sono collegabili a violazioni di dati come questa.
Politica dei 90 giorni e consegna anonima in arrivo
Trezor adotta una politica di conservazione dati di appena 90 giorni con tutti i propri partner logistici, inclusa ShipMonk: trascorso questo periodo, i dati relativi a un ordine vengono eliminati o anonimizzati. È proprio questa regola ad aver limitato l’ampiezza della violazione, escludendo dall’esposizione gli ordini più datati.
Cosa cambia con la consegna anonima
Per ridurre il rischio in futuro, Trezor sta lavorando a un’opzione di consegna anonima che prevede checkout dedicato, ritiro in locker, imballaggio neutro, dati del mittente generici e cancellazione automatica degli identificatori di spedizione dopo la consegna. L’obiettivo dichiarato è renderla disponibile nell’Unione Europea entro settembre 2026 e negli Stati Uniti entro la fine dello stesso anno. Nel frattempo, l’azienda suggerisce ai clienti più cauti di usare email non riconducibili alla propria identità, pagare in crypto o con carte digitali usa e getta, e valutare l’uso di una casella postale per limitare l’esposizione dell’indirizzo reale.
ShipMonk rafforza la sicurezza e collabora alle indagini
ShipMonk ha dichiarato di aver messo in sicurezza i sistemi coinvolti e di aver rafforzato le proprie misure di protezione subito dopo aver individuato l’accesso non autorizzato. L’azienda sta collaborando con Trezor per ricostruire nel dettaglio la dinamica dell’attacco e l’esatta portata dei dati compromessi.
Il precedente più vicino, in termini di gravità, resta quello di Ledger, altro produttore di hardware wallet, colpito a gennaio da una violazione legata al partner e-commerce Global-e, dopo il grande attacco del 2020 che aveva coinvolto quasi 300mila utenti e innescato, l’anno successivo, l’invio di dispositivi contraffatti alle vittime. Anche Trezor non è del tutto nuova a episodi simili: nel gennaio 2024 una violazione del portale di supporto aveva coinvolto 66mila persone, mentre nel 2022 un attacco alla piattaforma di email marketing Mailchimp aveva esposto i dati di 106.856 clienti. Gestire le conseguenze legali, di reputazione e di rimedio da una fuga di dati su questa scala può arrivare a costare a un’azienda hardware oltre 33 milioni di dollari, secondo stime di settore citate in casi analoghi.
La differenza, questa volta, è che l’origine del problema resta interamente fuori dal perimetro tecnologico di Trezor: la sicurezza crittografica dei dispositivi non è mai stata in discussione. Resta però il nodo più delicato, quello della catena di fornitori terzi a cui ogni produttore di hardware wallet affida spedizione e logistica, e che si conferma il punto più fragile dell’intero settore.
FAQ
Chi è ShipMonk e perché aveva i miei dati?
ShipMonk è il partner logistico che conserva e spedisce gli ordini Trezor. Per consegnare un pacco ha bisogno di nome, indirizzo, telefono ed email del cliente.
Quali dati specifici sono stati esposti nella violazione?
I dati coinvolti includono nome completo, numero di telefono, indirizzo email e indirizzo di spedizione dei clienti; per un gruppo più ristretto l’esposizione si è limitata a nome, città ed email.
Come posso sapere se sono stato colpito da questa violazione?
Se hai ricevuto un’email da [email protected] relativa all’incidente, i tuoi dati sono stati esposti. In caso contrario, non sei stato coinvolto.
Cosa devo fare se i miei dati sono stati esposti?
È consigliabile restare vigili contro tentativi di phishing e truffe, non condividere mai il backup del proprio wallet e verificare ogni comunicazione confrontandola con i canali ufficiali di Trezor.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
