Trezor, tra i principali produttori di hardware wallet per Bitcoin, ha confermato che una nuova violazione dei dati del suo fornitore logistico ShipMonk ha esposto le informazioni personali di altri 67.000 clienti statunitensi. L’azienda ceca ribadisce che chiavi private, backup del wallet e dispositivi hardware non sono stati toccati: il rischio riguarda solo phishing e social engineering, non i fondi in Bitcoin.
Cosa e’ successo nella violazione Trezor-ShipMonk
Il fornitore di logistica ShipMonk, che gestisce stoccaggio e spedizione degli ordini Trezor, ha comunicato all’azienda il 10 agosto 2026 l’accesso non autorizzato ai propri sistemi. Trezor aveva gia’ reso pubblico un primo round di clienti coinvolti il 13 agosto: 11.742 persone con nome, email, telefono e indirizzo, piu’ altre 1.947 con solo nome, citta’ ed email.
Il 4 settembre Trezor ha aggiornato il comunicato con un secondo round, molto piu’ ampio: circa 67.000 clienti aggiuntivi negli Stati Uniti, per un totale che secondo The Block supera le 80.000 persone coinvolte tra i due round.
I dati esposti (e quelli risparmiati)
I record compromessi contengono nomi completi, indirizzi di spedizione, numeri di telefono, email e numeri d’ordine. Alcuni risalgono a un periodo tra novembre 2019 e agosto 2021 — ben oltre i 90 giorni di conservazione che ShipMonk si era impegnata contrattualmente a rispettare, come riporta Decrypt.
Trezor si e’ detta “molto delusa” dal fatto che, nonostante richieste ripetute di cancellazione, ShipMonk non abbia eliminato i dati piu’ vecchi dai propri sistemi come da accordo.
Wallet e chiavi private non sono a rischio
Il punto piu’ importante del comunicato ufficiale riguarda cosa NON e’ stato compromesso. Trezor scrive testualmente nel proprio blog ufficiale: “Trezor systems, hardware wallets, private keys, and wallet backups were not affected” (i sistemi Trezor, gli hardware wallet, le chiavi private e i backup del wallet non sono stati coinvolti).
Chi possiede un Trezor non rischia quindi un furto diretto di Bitcoin: il pericolo reale e’ l’uso dei dati anagrafici esposti per costruire truffe di phishing mirate, spacciandosi per l’azienda o per corrieri.
Non e’ la prima volta per un hardware wallet
Il precedente piu’ noto nel settore resta la violazione Ledger del 2020, quando oltre 270.000 clienti videro i propri dati pubblicati su forum di hacker. Anni dopo, secondo The Block, molti di quei clienti continuano a ricevere telefonate e lettere fraudolente mirate proprio perche’ i truffatori sanno che possiedono Bitcoin.
BitcoinLive24 ha gia’ raccontato come un singolo bug software su un altro hardware wallet, Coldcard, avesse esposto fino a 100 milioni di dollari in fondi multisig, e come l’autore di quel furto stia ancora muovendo i Bitcoin rubati attraverso THORChain. Anche gli attacchi su scala statale seguono la stessa logica opportunistica: il gruppo nordcoreano Lazarus continua a riciclare Bitcoin rubati anni prima su piattaforme come Hyperliquid. Il settore della custodia hardware resta un bersaglio costante, anche quando l’attacco arriva da un fornitore terzo e non dal produttore.
Cosa consiglia Trezor agli utenti
L’azienda raccomanda quattro accorgimenti concreti: restare vigili contro tentativi di phishing via email o SMS, non condividere mai la frase di recupero (seed) o il backup del wallet online o al telefono, verificare ogni comunicazione solo attraverso i canali ufficiali Trezor, ed essere sospettosi verso qualunque richiesta che chieda azioni immediate o dati personali.
| Evento | Data | Clienti coinvolti | Dati esposti |
|---|---|---|---|
| Notifica breach da ShipMonk | 10 agosto 2026 | — | Accesso non autorizzato ai sistemi |
| Primo comunicato Trezor | 13 agosto 2026 | 11.742 + 1.947 | Nome, email, telefono, indirizzo / nome, città, email |
| Aggiornamento Trezor | 4 settembre 2026 | ~67.000 aggiuntivi (USA) | Nome, email, telefono, indirizzo, numero ordine |
| Wallet, chiavi private, backup | — | 0 | Non coinvolti, per ammissione ufficiale Trezor |
Conclusione
La violazione ShipMonk conferma un rischio strutturale del settore hardware wallet: anche quando il dispositivo e le chiavi restano sicuri, i fornitori terzi che gestiscono spedizioni e logistica possono diventare l’anello debole, esponendo dati che permettono di identificare chi possiede Bitcoin. Per la community BitcoinLive24 resta valida la stessa lezione emersa dai casi Coldcard e Ledger: la sicurezza di un wallet hardware non dipende solo dal dispositivo, ma anche da chi tratta i dati intorno ad esso.
FAQ
I miei Bitcoin sono a rischio se ho comprato un Trezor?
No. Trezor ha confermato che sistemi interni, hardware wallet, chiavi private e backup non sono stati compromessi. Il rischio riguarda solo dati anagrafici che possono essere usati per phishing.
Quali dati sono stati esposti nella violazione ShipMonk?
Nomi completi, indirizzi di spedizione, numeri di telefono, email e numeri d’ordine relativi ad acquisti effettuati tra novembre 2019 e agosto 2021.
Chi e’ ShipMonk e perche’ ha accesso ai dati di Trezor?
ShipMonk e’ il fornitore terzo che gestisce stoccaggio e spedizione fisica degli ordini Trezor, quindi tratta necessariamente i dati di consegna dei clienti.
Quanti clienti sono stati coinvolti in totale?
Circa 13.689 clienti nel primo round di agosto e altri 67.000 clienti USA nell’aggiornamento di settembre, per un totale superiore alle 80.000 persone secondo The Block.
Cosa devo fare se ho ricevuto un Trezor in passato?
Diffidare di email, SMS o telefonate che chiedono la seed phrase o dati personali con urgenza, e verificare ogni comunicazione solo tramite i canali ufficiali Trezor.
Per restare aggiornato in tempo reale su sicurezza e custodia Bitcoin, scarica l’app BitcoinLive24: notifiche push non appena emergono nuovi rischi per chi detiene Bitcoin.
