Un altro giorno, un altro avviso di sicurezza. Il produttore di hardware wallet Trezor afferma che una violazione che ha coinvolto il partner di spedizione Shipmonk ha esposto le informazioni personali di circa 67.000 ulteriori clienti statunitensi, dopo che registri che, secondo Trezor, avrebbero dovuto essere eliminati sono invece rimasti nascosti nei sistemi del fornitore.
La fuga di dati di Trezor si aggrava mentre vengono esposti altri 67.000 acquirenti statunitensi
SCRITTO DA
CONDIVIDI
Punti chiave
- Trezor ha aggiunto 67.000 clienti statunitensi alla violazione Shipmonk il 4 settembre.
- La fuga di dati di Trezor ora riguarda circa 80.000 persone, inclusi gli indirizzi di casa.
- Trezor punta alla Consegna Anonima negli Stati Uniti entro la fine del 2026.
I record identificati di recente coprono ordini negli Stati Uniti effettuati tra novembre 2019 e agosto 2021 e ampliano un incidente che aveva già colpito 13.689 clienti più recenti in diversi Paesi. Nel complesso, la violazione ora coinvolge circa 80.000 persone, anche se i sistemi, i dispositivi, le chiavi private e i backup dei wallet di Trezor non sono stati compromessi.
Trezor trova altri 67.000 clienti statunitensi nella violazione
Dopo l’ultima divulgazione, Trezor ha dichiarato di aver appreso il 2 settembre che la violazione di Shipmonk era più ampia di quanto inizialmente riportato. I record più vecchi contengono i nomi dei clienti, gli indirizzi email, i numeri di telefono, gli indirizzi di spedizione e i numeri d’ordine, fornendo agli attaccanti informazioni che potrebbero rendere le truffe molto più convincenti.
La scoperta è particolarmente preoccupante perché Trezor afferma di aver chiesto ripetutamente a Shipmonk di eliminare le informazioni e di aver ricevuto conferma scritta che fossero state rimosse. Trezor ha dichiarato che tali assicurazioni erano coerenti con il suo contratto, la politica sui dati e le comunicazioni precedenti con il fornitore di logistica.
Questo solleva anche interrogativi sulla politica di conservazione dei dati di 90 giorni pubblicizzata da Trezor con i partner di evasione ordini. I record scoperti di recente risalgono a anni fa, mostrando che la politica non è stata applicata per i clienti statunitensi interessati del periodo 2019-2021.
Gli indirizzi trapelati spingono la minaccia oltre il phishing via email
Le informazioni esposte non consentono a un attaccante di accedere da remoto a un wallet Trezor. Le chiavi private e le seed phrase, le parole segrete di recupero utilizzate per controllare un wallet crypto, non facevano parte della violazione.
Ma il tipo di informazioni esposte crea un problema diverso. Trezor ha avvertito che numeri di telefono e indirizzi di casa trapelati potrebbero potenzialmente mettere i clienti interessati a rischio fisico, mentre numeri d’ordine reali e dettagli di contatto potrebbero aiutare i truffatori a impersonare l’azienda in modo più convincente.
La violazione ha avuto origine al di fuori di Trezor. Gli attaccanti hanno sfruttato una vulnerabilità di SQL injection precedentemente sconosciuta in Metabase, una piattaforma di analisi utilizzata da Shipmonk. Metabase ha informato Shipmonk intorno al 6 agosto, ha corretto la vulnerabilità e invalidato le sessioni, mentre Shipmonk ha poi spiegato di aver messo in sicurezza i propri sistemi.
I fallimenti dei dati di terze parti mettono a rischio gli acquirenti di hardware wallet
L’incidente segue altre esposizioni di terze parti che hanno coinvolto clienti Trezor. Circa 106.856 clienti sono stati colpiti in un incidente del 2022, mentre un portale di supporto compromesso nel 2024 ha esposto fino a 66.000 nomi e indirizzi email. In ciascun caso, gli hardware wallet stessi non sono stati compromessi da remoto.
Questa distinzione è importante per i clienti che decidono come reagire. Trezor avverte che nessuno dell’azienda chiederà un backup del wallet, il che significa che i clienti non dovrebbero mai inserire la propria seed phrase in un sito web né consegnarla a qualcuno che afferma di fornire supporto.
Trezor spinge la Consegna Anonima mentre il futuro di Shipmonk resta in sospeso
Trezor sta ora promuovendo un sistema di Consegna Anonima progettato per ridurre la quantità di informazioni sui clienti conservate durante gli acquisti di hardware wallet. Il sistema include il ritiro presso locker, imballaggi neutri, un mittente generico e l’eliminazione automatica degli identificativi di spedizione dopo la consegna, con un lancio in Europa previsto per settembre e un rilascio negli Stati Uniti pianificato entro la fine del 2026.
Per ora, Trezor non ha annunciato piani per abbandonare Shipmonk. L’azienda aveva precedentemente affermato che avrebbe determinato il futuro della partnership dopo aver ottenuto un quadro completo dell’incidente, lasciando tale decisione irrisolta anche mentre il numero noto di clienti interessati si avvicina a 80.000. La questione segue una serie di inquietanti incidenti legati agli hardware wallet avvenuti nel 2026, associati a Safepal e ai wallet Coldcard.
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
