Trezor Trezor Safe 3

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 9 set 2026 Fuga di dati Grave ● aperto

   Fornitore email Brevo violato: phishing recapitato dal canale ufficiale Trezor a circa 347.000 iscritti alla newsletter, 2.500 hanno cliccato; il 10/9 Trezor ha nominato il fornitore e Brevo ha pubblicato il rapporto post-incidente chiudendo la falla SAML SSO, nessun furto di fondi confermato

   Il 9 settembre 2026 alle 22:37 CEST Trezor ha comunicato sul proprio account X ufficiale che «il nostro fornitore email di terze parti è stato violato» e che l'email intitolata «Critical Security Alert: STM32 Entropy Vulnerability» non proviene dall'azienda: è un tentativo di phishing, e non va cliccato nessun link. L'azienda ha aggiunto di aver fatto rimuovere il dominio e di stare indagando «anche su come gli attaccanti hanno ottenuto accesso al nostro dominio legittimo». È questo il punto che distingue il caso dal phishing ordinario: il messaggio non imitava il canale ufficiale, passava dal canale ufficiale. Secondo The Block e Cointelegraph l'email usava nomi di dominio e firme autentici, sosteneva falsamente un difetto di fabbrica nei microcontrollori STM32 capace di indebolire la generazione della frase di recupero su una quota dei dispositivi più recenti, e spingeva il destinatario verso una pagina di «verifica della vulnerabilità» costruita per raccogliere le parole di recupero. Trezor ha dichiarato che chiavi e fondi non sono stati esposti e, alla data di verifica, nessuna fonte ha confermato furti di fondi o di frasi di recupero. Lo stesso giorno anche BitBox ha segnalato una campagna identica partita dal proprio fornitore di newsletter, indicando come causa probabile un fornitore di posta condiviso fra più aziende bitcoin (voce nella scheda BitBox): la campagna è quindi una compromissione a monte di un canale di comunicazione, non un phishing generico contro il settore. È il secondo incidente da fornitore terzo per Trezor in poche settimane, dopo la fuga di dati ShipMonk di agosto riportata qui sotto; nessuna fonte ha collegato le due vicende. Al 10/9 l'indagine è dichiarata ancora aperta e non risulta pubblicato un rapporto conclusivo: non si sa quale fornitore sia stato violato, da quando, né quanti clienti abbiano ricevuto il messaggio. AGGIORNAMENTO DEL 10/9/2026 ORE 14:00 CEST: il nome del fornitore condiviso è stato reso pubblico, ma non da Trezor. Alle 23:32 CEST del 9/9 CoinTracking — servizio di rendicontazione fiscale delle criptovalute, non presente in questo registro — ha scritto sul proprio account X ufficiale che «il nostro fornitore di posta di terze parti Brevo ha subito una violazione di sicurezza», e ha segnalato una terza esca della stessa ondata, un'email intitolata «Data Breach Notice: Please refresh API Keys as soon as possible». È la prima e finora unica azienda colpita che fa il nome: Trezor e BitBox continuano a parlare di «fornitore di terze parti» senza nominarlo, e alle 12:00 UTC del 10/9 la pagina di stato di Brevo risulta «pienamente operativa» e non riporta alcun avviso di sicurezza. Sulle intestazioni del messaggio ricevuto dai clienti Trezor, Decrypt e Cryptopolitan riferiscono — sulla base di schermate di destinatari, non di una conferma aziendale — un mittente «Trezor Security <[email protected]>», un return-path [email protected], il percorso di campagna Sendinblue (nome precedente di Brevo) e il superamento dei controlli DKIM, SPF e DMARC. Se confermato, spiega perché il messaggio è entrato nella posta in arrivo come autentico: la firma crittografica era quella vera del dominio Trezor. Restano assenti conferme di furti di fondi o di frasi di recupero, e nessun rapporto conclusivo: alle 14:00 CEST del 10/9 l'ultimo intervento pubblico di Trezor resta quello delle 22:37 del 9/9, circa 15 ore prima. AGGIORNAMENTO DEL 12/9/2026 ORE 08:00 CEST — ORA IL NOME LO FA TREZOR, E I NUMERI CI SONO. Quanto scritto qui sopra al 10/9 («Trezor e BitBox continuano a parlare di fornitore di terze parti senza nominarlo») è superato: Trezor ha pubblicato sul proprio blog ufficiale un avviso intitolato «Security incident at Brevo, our third-party email provider», datato 10/9/2026, in cui nomina il fornitore e quantifica l'esposizione. Parole di Trezor: il 9/9 «Brevo, la piattaforma di marketing di terze parti che Trezor usa per le campagne newsletter, ha subito un incidente di sicurezza che ha riguardato 120 account Brevo», e «un attore non autorizzato ha ottenuto accesso al sistema di Brevo e lo ha usato per inviare email da vari account clienti, incluso quello di Trezor». LE CIFRE: l'incidente ha toccato il database della newsletter a iscrizione volontaria di Trezor, «circa 347.000 indirizzi email», che l'azienda tratta come esposti e riutilizzabili in futuri tentativi di phishing; 2.500 persone hanno cliccato il link prima che il dominio fosse disattivato, entro 20 minuti dalla rilevazione. Trezor precisa che il sistema di Brevo «non contiene password, dati di portafoglio o altre informazioni personali», che «nessun prodotto, portafoglio o sistema di account Trezor è stato toccato» e di aver sospeso il proprio account Brevo per fermare ulteriori invii. UN PUNTO RESTA APERTO, E LO DICE TREZOR: l'azienda dichiara di non poter confermare se la lista di indirizzi sia stata esportata. ANCHE BREVO HA PARLATO, ED È LA FONTE SUL MECCANISMO: il 10/9 Brevo ha pubblicato un rapporto post-incidente sulla propria pagina di stato, sotto il titolo «Attacker gained access to client accounts». Vi si legge che alle 06:30 UTC del 10/9 è stato individuato «un problema di sicurezza in cui un attaccante ha sfruttato una falla nel modo in cui Brevo gestisce il SAML SSO per ottenere accesso a 138 account Brevo». Il meccanismo, nelle parole di Brevo: l'attaccante ha creato un account Brevo, vi ha attivato il single sign-on e ha invitato utenti Brevo legittimi dentro quella configurazione, poi si è autenticato attraverso il proprio identity provider agendo come loro; l'accesso non era delimitato correttamente — invece di fermarsi alla sola organizzazione in cui l'SSO era attivo, «gli ha concesso erroneamente accesso a tutte le organizzazioni raggiungibili da quegli utenti». RIPARTIZIONE UFFICIALE DEI 138 ACCOUNT: 6 usati per inviare email di phishing ai contatti che vi erano archiviati, 43 con i contatti esportati, 93 senza attività significativa. Trezor è fra i 6 da cui sono partiti gli invii. Se sia anche fra i 43 con i contatti esportati non lo dice né Trezor né Brevo, ed è esattamente il punto che Trezor dichiara di non poter confermare: non lo deduciamo noi. NOTA SULLA DISCREPANZA 120/138: il numero più basso è quello di Trezor il 10/9, il più alto è quello di Brevo nel rapporto successivo; il dato buono è quello dell'operatore della piattaforma, 138. RIMEDIO: Brevo dichiara di aver chiuso il vettore d'attacco alle 08:30 UTC del 10/9 — due ore dopo l'individuazione —, di aver disconnesso tutti gli utenti della piattaforma, distribuito correzioni permanenti che limitano l'accesso SSO alla sola organizzazione proprietaria e disattivato i link contenuti nelle email di phishing. PERCHÉ ABBIAMO TOLTO «IN CORSO»: al 10/9 questa voce era marcata come evento in svolgimento. Non lo è più — il vettore è chiuso per dichiarazione dell'operatore, i domini di phishing sono stati rimossi, gli invii sono cessati. Resta aperto, e per questo la voce non è marcata come risolta, ciò che l'incidente si lascia dietro: circa 347.000 indirizzi in mano a qualcuno, nessuna conferma sull'eventuale esportazione della lista Trezor, nessun rapporto conclusivo di Trezor. Al 12/9 nessuna fonte — compresi BleepingComputer, SecurityWeek, Malwarebytes e The Record, che hanno seguito il caso — ha confermato furti di fondi o di frasi di recupero riconducibili a questa campagna. AGGIORNAMENTO DEL 12/9/2026 ORE 13:30 CEST — PRECISAZIONE SULLA POSIZIONE DI TREZOR. Sopra si legge che Trezor «dichiara di non poter confermare se la lista sia stata esportata»: è esatto, ma incompleto, e l'omissione è a sfavore dell'azienda. Nello stesso avviso del 10/9 Trezor aggiunge infatti quale conseguenza operativa ne trae, ed è la più prudente possibile: «finché non avremo notizie da Brevo, trattiamo tutti i circa 347.000 indirizzi della newsletter come noti all'attaccante e potenzialmente riutilizzabili per il phishing». Vale la pena scriverlo perché è esattamente la regola di condotta che questo registro raccomanda qui sotto, adottata dall'azienda per prima: l'incertezza sull'esportazione non viene usata per minimizzare l'accaduto. L'11/9 un portavoce Trezor ha ripetuto la stessa frase a Cointelegraph, confermando anche che «l'email iniziale è stata inviata a 347.000 clienti», tutti successivamente contattati riguardo al rischio.

   ↗ fonte
2. 6 ago 2026 Fuga di dati Grave ● aperto

   Fuga di dati clienti dal fornitore logistico ShipMonk: circa 80.700 acquirenti esposti, indirizzi di spedizione compresi

   ShipMonk, il fornitore logistico che spedisce gli ordini Trezor, ha subito un'intrusione il 6 agosto 2026 attraverso una vulnerabilità della piattaforma di analytics di terze parti Metabase, e il 10 agosto ha comunicato a Trezor l'accesso non autorizzato ai sistemi che contenevano i dati d'ordine. Il 13 agosto Trezor ha reso pubblico l'incidente: 13.689 clienti coinvolti, di cui 11.742 con nome completo, email, telefono e indirizzo di spedizione esposti e 1.947 con esposizione parziale (nome, città, email), su ordini consegnati fra il 10 maggio e l'8 agosto 2026 in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Il 2 settembre ShipMonk ha informato Trezor che il materiale sottratto conteneva anche i dati d'ordine di una collaborazione precedente fra novembre 2019 e agosto 2021, che secondo il contratto e la politica di conservazione avrebbero dovuto essere cancellati: il 4 settembre Trezor ha aggiornato la comunicazione aggiungendo circa 67.000 clienti statunitensi con esposizione completa (nome, email, telefono, indirizzo di spedizione, numero d'ordine), per un totale di circa 80.700 persone. Trezor dichiara che i propri sistemi, i dispositivi, le chiavi private e i backup del wallet non sono stati toccati, e afferma di aver ricevuto più volte da ShipMonk conferma scritta della cancellazione dei dati storici, cancellazione che non era avvenuta. Il rischio non è sui fondi in sé ma sulle persone: l'elenco associa nome, telefono e indirizzo di casa a chi possiede un portafoglio hardware, ed è la stessa materia prima che dopo la violazione Ledger del 2020 ha alimentato per anni phishing mirato, finte lettere e timori per la sicurezza fisica.

   ↗ fonte

verificato il 12 set 2026

Media ponderata sul numero di recensioni di 3 piattaforme pubbliche (7254 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.