BitBox BitBox02 Multi edition

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 9 set 2026 Fuga di dati Grave ● aperto

   Fornitore della newsletter compromesso: phishing recapitato agli iscritti BitBox dal canale ufficiale; il 10/9 Brevo si è dichiarata la piattaforma violata e ha chiuso la falla SAML SSO, l'11/9 un portavoce BitBox ha nominato Brevo a un giornale dichiarando che l'email ha raggiunto l'intera lista newsletter e tutorial, ma l'azienda non ha ancora pubblicato nulla sui propri canali né un numero di iscritti

   La sera del 9 settembre 2026 BitBox ha avvisato sul proprio account X ufficiale che era in circolazione «un'email di phishing che finge di venire da noi», invitando a non seguirne le istruzioni. Alle 23:03 CEST l'azienda ha pubblicato l'esito preliminare della verifica: l'email era stata «inviata ai nostri iscritti alla newsletter» ed è «molto probabile che il nostro fornitore di newsletter sia stato compromesso»; inoltre «anche molte altre aziende bitcoin sono state colpite, e sembra che condividiamo tutte lo stesso fornitore di newsletter». BitBox ha dichiarato di aver inviato un avviso di phishing a tutti gli iscritti, contattato il fornitore e segnalato i domini fraudolenti, «la maggior parte dei quali risulta già rimossa», e di stare ancora indagando. Il dato che conta per l'utente è che il messaggio è arrivato lungo il canale legittimo, alla lista degli iscritti veri: controllare il mittente non basta a distinguerlo. Secondo Cointelegraph e Cyber Daily il messaggio fraudolento agitava un presunto difetto nella generazione dei numeri casuali del dispositivo, lo stesso schema usato lo stesso giorno contro i clienti Trezor, che ha attribuito la propria campagna alla violazione di un fornitore email di terze parti (voce nella scheda Trezor). Alla data di verifica nessuna fonte ha confermato furti di fondi o di frasi di recupero, e nessuna delle due aziende ha reso noto il nome del fornitore, il numero di iscritti raggiunti o la data d'inizio della compromissione. Nota di metodo: il phishing di terzi contro gli utenti di un servizio non entra in questo registro; questa voce c'è perché la compromissione riguarda un fornitore della catena di comunicazione di BitBox, dichiarata dall'azienda stessa. AGGIORNAMENTO DEL 10/9/2026 ORE 14:00 CEST: il fornitore condiviso di cui parlava BitBox ha ora un nome, fatto però da un'altra azienda colpita. Alle 23:32 CEST del 9/9 CoinTracking — servizio di rendicontazione fiscale delle criptovalute, non presente in questo registro — ha dichiarato sul proprio account X ufficiale che «il nostro fornitore di posta di terze parti Brevo ha subito una violazione di sicurezza», con una terza esca cucita sul proprio servizio: un'email intitolata «Data Breach Notice: Please refresh API Keys as soon as possible». BitBox e Trezor continuano a non nominare il fornitore, e alle 12:00 UTC del 10/9 la pagina di stato di Brevo risulta «pienamente operativa», senza alcun avviso di sicurezza. Sulle intestazioni dell'email ricevuta dai clienti Trezor, Decrypt e Cryptopolitan riferiscono — sulla base di schermate di destinatari, non di una conferma aziendale — il percorso di campagna Sendinblue (nome precedente di Brevo) e il superamento dei controlli DKIM, SPF e DMARC: è la spiegazione tecnica di quello che BitBox aveva già detto in parole semplici, cioè che il messaggio arriva lungo il canale legittimo. La previsione di BitBox sulle «molte altre aziende bitcoin» colpite trova quindi un terzo riscontro pubblico. Restano assenti conferme di furti di fondi o di frasi di recupero; alle 14:00 CEST del 10/9 l'ultimo intervento pubblico di BitBox resta quello delle 23:03 del 9/9, e non risulta pubblicato alcun rapporto conclusivo. AGGIORNAMENTO DEL 12/9/2026 ORE 08:00 CEST — IL FORNITORE HA AMMESSO, MA NON È STATA BITBOX A DIRLO. Quanto scritto qui sopra al 10/9 va corretto su un punto: non è più vero che il nome circoli solo per bocca di CoinTracking, e non è più vero che «la pagina di stato di Brevo risulta pienamente operativa senza alcun avviso di sicurezza». Il 10/9 Brevo ha pubblicato sulla propria pagina di stato un rapporto post-incidente intitolato «Attacker gained access to client accounts»: alle 06:30 UTC ha individuato «un problema di sicurezza in cui un attaccante ha sfruttato una falla nel modo in cui Brevo gestisce il SAML SSO per ottenere accesso a 138 account Brevo». Il meccanismo, parole di Brevo: l'attaccante ha creato un account Brevo, vi ha attivato il single sign-on e ha invitato dentro quella configurazione utenti Brevo legittimi, poi si è autenticato attraverso il proprio identity provider agendo come loro; l'accesso non era delimitato correttamente e, invece di fermarsi alla sola organizzazione in cui l'SSO era attivo, «gli ha concesso erroneamente accesso a tutte le organizzazioni raggiungibili da quegli utenti». RIPARTIZIONE UFFICIALE DEI 138 ACCOUNT: 6 usati per inviare phishing ai contatti archiviati, 43 con i contatti esportati, 93 senza attività significativa. Brevo dichiara di aver chiuso il vettore alle 08:30 UTC del 10/9, due ore dopo l'individuazione, di aver disconnesso tutti gli utenti della piattaforma, distribuito correzioni permanenti che limitano l'accesso SSO alla sola organizzazione proprietaria e disattivato i link nelle email fraudolente. È la conferma, dalla fonte che conta, di quello che BitBox aveva intuito il 9/9 parlando di un fornitore condiviso fra più aziende bitcoin. COSA VALE PER BITBOX E COSA NO: che gli iscritti BitBox abbiano ricevuto il phishing lungo il canale legittimo lo ha detto BitBox stessa; in quale delle tre caselle di Brevo ricada il suo account — fra i 6 da cui sono partiti gli invii, fra i 43 con i contatti esportati, o in entrambe — non è dichiarato da nessuna delle due aziende, e non lo deduciamo noi. BitBox continua a non pubblicare il numero di iscritti raggiunti, e al 12/9 non ha nominato pubblicamente il fornitore né pubblicato un rapporto conclusivo: il suo ultimo intervento sul caso resta quello del 9/9. IL TERMINE DI PARAGONE, UTILE PERCHÉ MISURA L'INFORMAZIONE CHE MANCA: Trezor, colpita nella stessa ondata e dallo stesso fornitore, ha pubblicato il 10/9 un avviso sul proprio blog in cui nomina Brevo e quantifica l'esposizione — circa 347.000 indirizzi della newsletter, 2.500 clic, dominio rimosso entro 20 minuti (voce nella scheda Trezor). Per BitBox l'equivalente di quei numeri, a oggi, non esiste. PERCHÉ ABBIAMO TOLTO «IN CORSO»: la campagna non è più in svolgimento — il vettore è chiuso per dichiarazione dell'operatore della piattaforma, i domini di phishing risultano rimossi, gli invii sono cessati. La voce resta non risolta perché mancano il perimetro dichiarato da BitBox e un rapporto conclusivo, e perché gli indirizzi eventualmente esportati restano in circolazione. Al 12/9 nessuna fonte, compresi BleepingComputer, SecurityWeek, Malwarebytes e The Record, ha confermato furti di fondi o di frasi di recupero riconducibili a questa campagna. AGGIORNAMENTO DEL 12/9/2026 ORE 13:30 CEST — BITBOX HA PARLATO, MA A UN GIORNALE. Quanto scritto qui sopra alle 08:00 va corretto su un punto, e la correzione è a favore di BitBox: non è più vero che «il suo ultimo intervento sul caso resta quello del 9/9», né che al 12/9 non abbia nominato pubblicamente il fornitore. L'11/9 Cointelegraph ha pubblicato dichiarazioni di un portavoce di BitBox, ed è la prima volta che l'azienda descrive il proprio perimetro. QUELLO CHE BITBOX DICHIARA, per bocca del portavoce: l'email non autorizzata è stata inviata «attraverso Brevo» — il fornitore è dunque nominato dall'azienda stessa, non più soltanto da CoinTracking — e «sembra aver raggiunto l'intera lista della newsletter e dei tutorial»; su Brevo erano archiviati «solo indirizzi email e preferenze di lingua»; BitBox dichiara inoltre di non aver trovato prove di credenziali aziendali compromesse, di contatti scaricati, di fondi perduti o di frasi di recupero rivelate, e di trattare comunque la lista come potenzialmente accessibile in attesa dei log di Brevo. CHE PESO HA QUESTA FONTE, DETTO CHIARAMENTE: sono parole dell'azienda, ma raccolte e riportate da un'unica testata, non pubblicate da BitBox sui propri canali. Alle 13:00 CEST del 12/9 il blog ufficiale (blog.bitbox.swiss) non contiene alcun articolo sull'episodio, e sull'account X l'ultimo intervento in merito resta quello del 9/9 — stamattina l'account ha pubblicato solo l'annuncio della propria presenza a una fiera. Riportiamo quindi la dichiarazione con l'attribuzione in chiaro, non come comunicato ufficiale. COSA RESTA APERTO: il numero degli iscritti raggiunti continua a non esistere, perché «l'intera lista» è un perimetro e non una cifra; e in quale delle tre caselle di Brevo ricada l'account BitBox — fra i 6 da cui sono partiti gli invii, fra i 43 con i contatti esportati, o in entrambe — non è dichiarato da nessuna delle due aziende. Una differenza rispetto a stamattina però c'è, ed è sostanziale: BitBox dice ora di non avere prove di contatti scaricati. Non equivale a escluderlo, tanto che l'azienda stessa aspetta i log del fornitore per saperlo, ma è più di quanto avesse detto finora. Resta invece invariato il termine di paragone: Trezor ha pubblicato un avviso sul proprio blog con numeri verificabili, BitBox ha risposto a un giornalista.

   ↗ fonte

verificato il 12 set 2026

Media ponderata sul numero di recensioni di 2 piattaforme pubbliche (2430 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.