Il corriere di Trezor espone 13.689 clienti del settore delle criptovalute al rischio di truffe

Secondo l’aggiornamento sulla sicurezza dell’azienda, i clienti interessati hanno ricevuto ordini negli Stati Uniti, nel Regno Unito, in Svezia, in Colombia, in Brasile, in Italia o in Portogallo nei 90 giorni precedenti l’8 agosto, ha scritto Trezor. Il produttore di portafogli hardware ha dichiarato che Shipmonk lo ha informato, il 10 agosto, di un accesso non autorizzato ai sistemi contenenti i dati dei clienti.

Trezor ha dichiarato che per 11.742 clienti sono stati esposti nomi completi, indirizzi e-mail, numeri di telefono e indirizzi di spedizione. Per altri 1.947 sono state esposte informazioni parziali: nomi, città e indirizzi e-mail.

Un portafoglio hardware è un dispositivo fisico progettato per conservare offline le credenziali private utilizzate per gestire le criptovalute. Tali credenziali, spesso denominate chiavi private, non sono state compromesse in questo incidente. «Tutti i clienti interessati sono stati contattati separatamente via e-mail. I nostri sistemi e dispositivi rimangono sicuri, ma i clienti coinvolti potrebbero subire un aumento dei tentativi di phishing», ha spiegato Trezor su X.

Il rischio immediato è l’usurpazione d’identità

La preoccupazione più immediata è il phishing, una tattica fraudolenta in cui i criminali si spacciano per aziende affidabili, banche o altri servizi per indurre le persone a fornire informazioni sensibili.

«I truffatori possono utilizzare le informazioni trapelate per inviare e-mail false, effettuare telefonate fasulle, inviare lettere fraudolente o potenzialmente spacciarsi per banche, exchange di criptovalute o persino Trezor», ha affermato l’azienda nella sua comunicazione ai clienti.

Tale rischio è particolarmente grave per i possessori di portafogli hardware, poiché i ladri potrebbero tentare di ottenere il backup del portafoglio, noto anche come frase di recupero. Una frase di recupero consente di ripristinare l’accesso a un portafoglio di criptovalute, il che significa che chiunque ne entri in possesso potrebbe appropriarsi dei fondi al suo interno.

Trezor ha esortato i clienti a non inserire mai il backup del portafoglio su un sito web né a condividerlo con nessuno. Ha inoltre consigliato di considerare con sospetto i messaggi che richiedono un’azione urgente o informazioni personali e di verificare le comunicazioni tramite i canali ufficiali di Trezor.

Un partner di spedizione era in possesso dei dati

Shipmonk è un fornitore di servizi logistici che immagazzina i prodotti e spedisce gli ordini agli acquirenti. Trezor ha spiegato che un partner di questo tipo necessita di informazioni di base relative alla consegna, tra cui nome, indirizzo, numero di telefono e indirizzo e-mail del destinatario.

Trezor ha sottolineato che i propri sistemi, prodotti e servizi non sono stati compromessi. «I dispositivi Trezor rimangono completamente sicuri e protetti», ha affermato l’azienda, aggiungendo che le normali operazioni proseguono.

L’azienda ha dichiarato che la propria politica di conservazione dei dati di 90 giorni ha limitato la portata della violazione. Trezor richiede ai partner di evasione ordini di cancellare o rendere anonimi i dati relativi agli ordini dei clienti 90 giorni dopo la consegna, una volta trascorso il periodo necessario per la consegna, i resi, i rimborsi e le sostituzioni.

«L’unico impatto concreto è che i clienti interessati potrebbero ricevere un maggior numero di tentativi di phishing via e-mail, telefono o posta», ha rivelato Trezor. Ha precisato che i clienti interessati sono stati contattati direttamente all’indirizzo help@trezor.io e che chi non ha ricevuto tale avviso non è stato coinvolto.

Il settore dei portafogli hardware ha già vissuto situazioni simili

L’incidente non è la prima violazione dei dati dei clienti legata a un produttore di portafogli hardware. Ledger, un altro importante produttore, ha subito una violazione che ha coinvolto il proprio database di e-commerce e marketing nel 2020.

Quell’incidente ha portato alla divulgazione di circa 1 milione di indirizzi e-mail e, successivamente, di circa 272.000 record più dettagliati relativi ai clienti, inclusi nomi, indirizzi postali, numeri di telefono e prodotti ordinati.

L’episodio di Ledger ha dimostrato perché le informazioni personali legate al possesso di criptovalute possano essere preziose per i criminali anche quando la tecnologia del portafoglio rimane di per sé sicura. Possono aiutare i truffatori a creare messaggi credibili rivolti a un cliente conosciuto. Giovedì Trezor ha spiegato che sta lavorando a un metodo di spedizione più riservato.

L’azienda ha dichiarato: “Stiamo attualmente lavorando a un’opzione di consegna anonima, che puntiamo a rendere disponibile entro settembre per l’UE ed entro la fine dell’anno per gli Stati Uniti. Ciò vi offrirà un modo più sicuro per ordinare portafogli hardware senza collegare l’acquisto al vostro indirizzo di residenza o alla vostra identità reale”.

Trezor ha inoltre reso noto che Shipmonk ha messo in sicurezza e rafforzato i sistemi interessati mentre le indagini proseguono. I clienti sono invitati a seguire gli ulteriori aggiornamenti; Trezor prevede di introdurre la ‘Consegna Anonima’ nell’Unione Europea entro settembre e negli Stati Uniti entro la fine del 2026.