Trezor: nuova violazione dei dati colpisce altri 67.000 clienti negli Stati Uniti

Trezor ha comunicato un ampliamento dell’impatto della violazione dei dati relativa ai clienti: oltre ai casi inizialmente stimati, altri 67.000 utenti negli Stati Uniti risultano potenzialmente coinvolti.

Trezor ha dichiarato:

“Un aggiornamento fornito dal nostro partner logistico, ShipMonk, indica che ulteriori 67.000 clienti che hanno effettuato ordini tra novembre 2019 e agosto 2021 potrebbero aver avuto esposti nome, e-mail, numero di telefono, indirizzo di spedizione e dettagli dell’ordine.”

Dettagli della violazione

Secondo quanto reso noto, i record interessati provengono dagli archivi del fornitore che gestiva la logistica e le spedizioni per alcune vendite di dispositivi. Trezor ha precisato che i propri sistemi non sono stati compromessi, ma che i dati relativi agli ordini non sono stati cancellati dall’archivio del partner nonostante rassicurazioni scritte.

I dati esposti comprendono informazioni anagrafiche e di contatto complete, oltre a dettagli specifici degli ordini. Queste informazioni possono essere sfruttate dagli aggressori per costruire messaggi di phishing altamente credibili, in grado di indurre l’utente a rivelare la propria seed phrase o altre credenziali sensibili.

Nel mese di agosto Trezor aveva inizialmente parlato di circa 14.000 utenti interessati; in un precedente aggiornamento di gennaio era invece stato stimato che circa 66.000 utenti che avevano contattato l’assistenza dopo dicembre 2021 potevano essere a rischio di campagne di phishing.

Rischi per gli utenti

Anche in assenza di una compromissione tecnica dei dispositivi hardware, la diffusione di informazioni personali facilita gli attacchi di ingegneria sociale. Mittenti che si spacciano per il servizio clienti possono inviare link o istruzioni finalizzate a ottenere le seed phrase o a convincere l’utente ad autorizzare transazioni dannose.

Le campagne di impersonificazione e phishing hanno rappresentato una quota significativa delle perdite nell’ecosistema crypto: nel primo trimestre dell’anno le frodi basate su questi metodi hanno costituito la maggior parte delle uscite segnalate, con numeri che mostrano la fragilità del fattore umano rispetto a vulnerabilità tecniche.

Un caso recente ha visto un investitore perdere quasi un milione di dollari a seguito della firma di una transazione di approvazione di token malevola sulla rete Ethereum, episodio che sottolinea quanto una singola azione sia sufficiente per compromettere portafogli anche hardware.

Implicazioni per il settore e misure consigliate

La vicenda evidenzia il rischio crescente legato alla filiera dei servizi legati alle criptovalute: non è solo il fornitore del dispositivo a dover garantire sicurezza, ma anche i partner logistici e di assistenza che trattano dati sensibili. Per le aziende del settore questo comporta maggiori responsabilità di compliance e controlli sui fornitori esterni.

Per gli utenti le indicazioni rimangono la massima prudenza: non rispondere a richieste non verificate, verificare sempre canali ufficiali, non condividere la seed phrase in alcuna circostanza e considerare l’adozione di processi di conservazione che limitino l’esposizione delle chiavi private. Le organizzazioni dovrebbero inoltre rafforzare i contratti con i partner logistici e implementare audit indipendenti sui processi di gestione dei dati.

Infine, l’aumento di incidenti di questo tipo potrebbe indurre gli investitori istituzionali a richiedere standard più stringenti di custodia e a favorire soluzioni di custodia regolamentata, con potenziali impatti sui costi operativi e sulle dinamiche competitive del mercato.

In sintesi

• La compromissione dei dati legata a fornitori logistici aumenta il premio di rischio percepito per i dispositivi hardware; ciò potrebbe tradursi in maggiori investimenti in sicurezza e in costi operativi superiori per i produttori.
• Gli investitori dovrebbero valutare la concreta esposizione al rischio operativo delle custodie crypto: la preferenza potrebbe spostarsi verso servizi con garanzie contrattuali e audit esterni verificabili.
• Per il mercato italiano, un maggior controllo sulla catena di trattamento dei dati e politiche di trasparenza possono favorire la fiducia degli utenti e l’adozione di strumenti di custodia più sicuri.