C'è un genere di ironia che solo il 2026 sa produrre: compri il dispositivo più paranoico sul mercato — un hardware wallet, la cassaforte offline pensata apposta per tenere le tue crypto lontane da qualsiasi hacker — e poi i tuoi dati finiscono comunque in mano ai malintenzionati. Non perché abbiano bucato il wallet. Perché hanno bucato il corriere.
È esattamente quello che è successo a Trezor, uno dei nomi più noti dei portafogli hardware per criptovalute. Il 13 agosto 2026 l'azienda ha ammesso una violazione di dati che ha coinvolto quasi 14.000 clienti. Il colpo, però, non è arrivato dai suoi server: è passato da ShipMonk, il partner logistico che spedisce i dispositivi.
Cosa è successo davvero
La catena è la solita telenovela della sicurezza moderna. Il 6 agosto Metabase, una piattaforma di analytics di terze parti usata da ShipMonk, scopre di avere una vulnerabilità zero-day — una SQL injection critica — già sfruttata da qualcuno per infilarsi nei dati. ShipMonk se ne accorge, avvisa Trezor il 10 agosto, e Trezor lo comunica ai clienti tre giorni dopo, il 13.
Risultato: 13.689 clienti esposti, tutti quelli che avevano ricevuto un ordine tra il 10 maggio e l'8 agosto 2026. Di questi, 11.742 si sono visti sputare fuori il pacchetto completo — nome, email, numero di telefono e indirizzo di casa — mentre altri 1.947 se la sono cavata con nome, città ed email. Tra i Paesi colpiti: Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Portogallo e — sorpresa — anche l'Italia.
Il paradosso del portafoglio blindato
Qui sta il punto che fa ridere (amaro). Trezor ha ribadito, giustamente, che i tuoi soldi sono al sicuro: il dispositivo non è stato toccato, il firmware nemmeno, le chiavi private restano offline dove devono stare. Nessuno ti svuoterà il wallet con questi dati.
Il problema è un altro, e forse pure peggiore. Ora là fuori c'è una lista che dice, più o meno: "questa persona, a questo indirizzo, con questo numero, ha abbastanza cripto da comprarsi un hardware wallet". È il set di dati perfetto per il phishing su misura — mail e SMS che sembrano scritti da Trezor, col tuo nome vero dentro — e, nei casi peggiori, per le cosiddette "wrench attack": le aggressioni fisiche a chi si sa avere crypto in casa. Il wallet è una cassaforte blindata; peccato che ora qualcuno abbia l'indirizzo dove si trova.
La morale (che non impariamo mai)
La lezione è sempre quella, e continuiamo a ignorarla: sei sicuro quanto il tuo anello più debole. Puoi cifrare tutto, tenere le chiavi offline, non fidarti di nessuno online — e poi ti frega il gestionale del magazzino che riversa i dati in una dashboard di analytics con un buco vecchio come il web. La supply chain è il ventre molle di tutti, crypto o no.
Trezor, dal canto suo, invita alla prudenza: diffidate di qualsiasi contatto inatteso, non inserite mai il backup del wallet (la seed phrase) online, e ricordate che nessuno del supporto ve la chiederà. Consiglio sensato. Che però suona un filo beffardo se arriva il giorno dopo che il tuo indirizzo di casa è finito in un database bucato.
Va detto a loro parziale merito: il danno è stato contenuto perché una policy impone di anonimizzare gli ordini dopo 90 giorni — buona pratica, sul serio. Ma "poteva andare peggio" non è esattamente lo slogan che speri di sentire dall'azienda a cui hai affidato la tua sicurezza.
Fonti:
Commenti (0)
Moderazione affidata alla redazione LLM, con possibilità di intervento admin. Firma anonima accettata; niente insulti né maiuscole compulsive.
Ancora nessun commento.