Il produttore di hardware wallet Trezor ha confermato che un proprio fornitore email di terze parti è stato violato, e gli attaccanti hanno usato l’accesso per inviare una campagna di phishing (truffa via email che imita comunicazioni ufficiali) ai clienti dell’azienda. Il messaggio fasullo, intitolato “Critical Security Alert: STM32 Entropy Vulnerability”, sosteneva falsamente che un dispositivo su quattro fosse esposto a una falla hardware capace di indebolire la generazione delle frasi di recupero (seed phrase, la sequenza di parole che protegge i fondi). Trezor ha smentito la vulnerabilità, rimosso il dominio usato per l’attacco e avviato un’indagine; secondo alcune fonti anche i clienti del produttore concorrente BitBox avrebbero ricevuto email fraudolente simili, ma il collegamento tra i due episodi non è confermato ufficialmente da nessuna delle due aziende.
Trezor Conferma: Email Violata, Phishing Finge Falla STM32
Trezor ha reso noto il 9 settembre 2026, poco dopo le 16:30 ora di New York, che hacker sconosciuti hanno violato il fornitore email usato dall’azienda per comunicare con i clienti, come riportato da Decrypt. L’email fraudolenta citava gli STM32, la famiglia di microcontrollori effettivamente usata nei dispositivi Trezor, parlando di una presunta “vulnerabilità di entropia” — l’entropia è il grado di casualità con cui viene generata la frase di recupero che protegge le chiavi private di un wallet. Alcuni utenti hanno segnalato di aver ricevuto il messaggio alcune ore prima dell’avviso ufficiale dell’azienda.
Terzo Incidente in un Mese Dopo la Violazione ShipMonk
Questo è il terzo problema di sicurezza legato a fornitori esterni subito da Trezor nel giro di circa quattro settimane. Ad agosto 2026 una violazione presso il partner logistico ShipMonk aveva esposto i dati di circa 14.000 clienti, poi ampliati a un totale di 81.000 dopo che Trezor ha scoperto un’estensione della falla che ha coinvolto altri 67.000 utenti USA, come confermato dallo stesso blog ufficiale di Trezor. BitcoinLive24 aveva raccontato in dettaglio quella violazione, che riguardava però dati di spedizione e non le chiavi crittografiche degli utenti.
Il fatto che due incidenti diversi in poche settimane colpiscano la stessa azienda, leader di mercato tra gli hardware wallet per Bitcoin, alimenta la preoccupazione della community sulla sicurezza della filiera di fornitori terzi — email, logistica, supporto clienti — da cui dipendono anche i produttori più affidabili di dispositivi per la custodia offline delle chiavi private.
Trezor: “Nessun Wallet Compromesso”, Dominio Rimosso
Trezor ha reagito pubblicamente sul proprio account X, dichiarando: “Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link.” L’azienda ha precisato che nessun wallet, chiave privata o backup di recupero risulta compromesso dall’accaduto, e che la falla hardware descritta nell’email è del tutto inventata. Il dominio usato per ospitare i link malevoli è stato rimosso e un’indagine interna è in corso per identificare il fornitore email compromesso.
Indagine in Corso, Possibile Legame con Email Sospette su BitBox
Trezor non ha ancora comunicato l’esito dell’indagine né il nome del fornitore email violato. In parallelo, alcuni utenti segnalano email fraudolente simili a nome del produttore concorrente BitBox: un possibile fornitore di newsletter condiviso è la pista più accreditata, ma nessuna delle due aziende ha confermato ufficialmente un collegamento diretto tra i due episodi. L’episodio arriva a poche settimane da un’altra ondata di allerta phishing legata all’exploit del dispositivo concorrente Coldcard, dopo che un bug da $100 milioni aveva già cambiato lo standard di custodia Bitcoin del settore.
L’hacker responsabile di quell’attacco, nel frattempo, continua a riciclare i fondi rubati tramite CoinJoin. Per gli utenti la raccomandazione resta invariata: diffidare di ogni email che chieda di inserire la frase di recupero su un sito web o la richieda in qualunque altra forma.
La tabella seguente riassume la cronologia degli incidenti di sicurezza legati a fornitori terzi subiti da Trezor nelle ultime settimane.
| Data | Incidente | Impatto |
|---|---|---|
| 13 agosto 2026 | Violazione ShipMonk (logistica) | ~14.000 clienti, dati di spedizione |
| 2 settembre 2026 | Estensione violazione ShipMonk | +67.000 clienti USA, totale ~81.000 |
| 9 settembre 2026 | Violazione fornitore email | Phishing STM32, nessun fondo compromesso |
Domande Frequenti
Cosa è successo esattamente a Trezor?
Un fornitore email di terze parti usato da Trezor è stato violato e gli attaccanti hanno inviato ai clienti un’email di phishing che finge un avviso di sicurezza ufficiale, sostenendo falsamente l’esistenza di una falla hardware nei microcontrollori STM32 dei dispositivi.
Le mie chiavi Bitcoin sono a rischio se ho un Trezor?
No: Trezor ha confermato che nessun wallet, chiave privata o frase di recupero risulta compromesso dall’incidente. Il rischio reale è cliccare sui link dell’email fraudolenta e inserire la propria seed phrase su un sito falso.
Come riconoscere un’email di phishing a nome di Trezor?
Trezor non chiede mai via email, telefono o lettera di inserire la frase di recupero: qualsiasi messaggio che lo richieda, anche citando presunte vulnerabilità hardware, va considerato phishing e va ignorato senza cliccare sui link contenuti.
Al momento della stesura Bitcoin viene scambiato intorno ai $78.300. L’episodio conferma quanto la sicurezza della custodia Bitcoin dipenda non solo dall’hardware ma anche dalla filiera di fornitori che gestiscono le comunicazioni con gli utenti: per restare aggiornati su ogni sviluppo della sicurezza nell’ecosistema Bitcoin, scarica l’app di BitcoinLive24 e ricevi le notifiche in tempo reale.
