Il phishing di Trezor dimostra che gli aggressori possono bypassare il dispositivo e prendere di mira il livello di fiducia umano

Trezor ha avvisato gli utenti che degli hacker stavano sfruttando una vulnerabilità del suo fornitore di servizi di posta elettronica di terze parti per diffondere un falso avviso di sicurezza. Tuttavia, il portafoglio Trezor non è stato intaccato dall'attacco. I criminali hanno preso di mira qualcosa di ancora più difficile da proteggere di un software: la fiducia dell'utente in un'email proveniente da un fornitore affidabile.

L'oggetto dell'avviso recitava: "Avviso di sicurezza critico: vulnerabilità di entropia degli STM32". Il messaggio affermava che gli ingegneri di Trezor avevano scoperto un difetto di progettazione nei chip STM32 utilizzati nei suoi prodotti. Decrypt ha riferito che Trezor ha riconosciuto il messaggio come falso e ha avvertito i lettori di non cliccare sui link.

Un falso errore inviato da un indirizzo reale

Ciò che ha reso efficace la campagna non è stata la vulnerabilità simulata, bensì le modalità di ricezione dell'e-mail. Un destinatario ha rivelato che l'e-mail proveniva da [email protected], seguiva il percorso della campagna Sendinblue e aveva superato i controlli DKIM, SPF e DMARC.

L'avviso specificava che un dispositivo su quattro poteva essere compromesso e che le frasi di recupero potevano non avere sufficiente casualità o entropia. Questa formulazione presentava una forte somiglianza con i problemi descritti nel recente attacco a Coldcard.

Trezor ha comunicato di aver bloccato il dominio utilizzato per l'invio degli avvisi e di aver avviato un'indagine per capire come i truffatori siano riusciti a utilizzare la sua infrastruttura di invio legittima. L'avviso pubblico dell'azienda è stato diffuso subito dopo le 16:30 ora della costa orientale degli Stati Uniti, il 9 settembre, solo poche ore dopo che i suoi utenti avevano iniziato a segnalare le email sospette.

La breccia potrebbe estendersi oltre Trezor

Secondo Nick Neuman, co-fondatore e CEO di Casa, sembra esserci una tendenza simile tra gli utenti di BitBox e un comune fornitore di servizi di email marketing potrebbe essere stato violato.

Questo è il problema più grande. I produttori di portafogli digitali possono rendere i loro dispositivi più sicuri, ma il loro marchio può comunque essere rubato attraverso mezzi che non controllano completamente, dai fornitori di servizi di posta elettronica alle società di spedizione e ai processori di pagamento.

Le violazioni dei dati non sono exploit di dispositivi

In un precedente report di Cryptopolitan, è emerso che i tentativi di phishing contro gli utenti di Ledger si sono diffusi anche tramite posta tradizionale. Tuttavia, è importante sottolineare che questi casi sono diversi da quelli di sfruttamento delle vulnerabilità dei dispositivi, poiché una violazione dei dati compromette l'dente le informazioni di contatto, mentre uno sfruttamento delle vulnerabilità può mettere a rischio anche le risorse finanziarie.

Gli attacchi ai portafogli hardware avvenuti nel 2026 chiariscono questa distinzione. SafePal ha ammesso che si è verificato un errore di autorizzazione in uno dei suoi trac, che ha portato all'esposizione dei dati di circa 39.798 clienti, e che le frasi di recupero, le chiavi private e le credenziali di accessodentquesti clienti non sono state compromesse.

La violazione dei dati di ShipMonk da parte di Trezor ha portato il numero di clienti interessati a 80.689, dopo che l'azienda ha scoperto che anche i vecchi registri degli ordini statunitensi risalenti al periodo 2019-2021 erano stati archiviati ed esposti. Analogamente, a gennaio, l' relativo a Global-edent di Ledger ha comportato l'esposizione dei dettagli degli ordini e delle informazioni di contatto dei clienti, senza tuttavia rivelare il numero esatto di clienti coinvolti.

Nel suo confronto di agosto, Memeburn ha correttamente classificato Ledger, Trezor e SafePal come "violazioni dei dati", identificandodentcome "exploit del dispositivo". La cifra di 13.689 menzionata da Memeburn in riferimento a Trezor, tuttavia, risale a prima dell'aggiornamento di Trezor del 4 settembre.

Coldcard si distingue dalle altre. Secondo Galaxy Research , il 14 agosto sono state confermate 190 vittime dirette, oltre a più di 86.000 indirizzi interessati e un furto di almeno 112,7 milioni di dollari (1.778,84 BTC) a causa di difetti nel firmware. Altre stime indicavano una possibile perdita di circa 130 milioni di dollari.

La fuga di notizie alimenta il phishing industrializzato

Il pericolo di una lista di spedizione trapelata risiede in ciò che accade dopo. Chainalysis ha stimato che le truffe e le frodi legate alle criptovalute abbiano sottratto 17 miliardi di dollari nel 2025, mentre le truffe di impersonificazione sono cresciute di oltre il 1400% su base annua. Ha inoltre rilevato che le truffe con collegamenti on-chain a fornitori di intelligenza artificiale hanno generato un fatturato per operazione 4,5 volte superiore rispetto a quelle senza tali collegamenti.

La registrazione di un acquisto effettuato tramite un portafoglio hardware può quindi trasformarsi in un file di targeting. Un nome, abbinato a un indirizzo email, un numero di telefono, un indirizzo di casa e la conferma del possesso di un dispositivo di sicurezza crittografica, fornisce ai criminali il contesto necessario per creare email, telefonate, lettere o persino approcci di persona convincenti.

La lezione che si può trarre dall'ultimodent di Trezor non è che i portafogli hardware abbiano fallito. È che il perimetro di sicurezza ora include i sistemi circostanti e che agli aggressori basta sempre più spesso un solo messaggio apparentemente affidabile per riuscire a penetrarlo.