Il phishing di Trezor mostra che gli attaccanti possono saltare il dispositivo e colpire lo strato di fiducia umana
- Trezor afferma che gli hacker hanno compromesso un provider di posta elettronica di terze parti per inviare falsi avvisi di sicurezza, mentre i suoi portafogli e dispositivi sono rimasti incolumi.
- Le email di phishing sembravano provenire dall'infrastruttura legittima di Trezor e affermavano falsamente che una vulnerabilità STM32 avrebbe potuto indebolire le frasi di recupero degli utenti.
- L'attacco evidenzia come dati dei clienti trapelati e provider di servizi compromessi possano abilitare phishing convincenti anche quando i portafogli hardware stessi rimangono sicuri.
Trezor ha avvisato gli utenti mercoledì 9 settembre 2026, riguardo ad hacker che sfruttano il suo provider di email di terze parti per distribuire un avviso di sicurezza falso. Tuttavia, il wallet Trezor non è stato interessato dall'attacco. I criminali hanno preso di mira qualcosa di ancora più difficile da proteggere rispetto a un pezzo di software: la fiducia di un utente in un'email da un provider affidabile.
L'oggetto dell'avviso recitava quanto segue: "Avviso di Sicurezza Critico: Vulnerabilità Entropia STM32". Il messaggio affermava che gli ingegneri di Trezor avevano scoperto un difetto di progettazione nei chip STM32 utilizzati nei loro prodotti. Decrypt ha riportato che Trezor ha riconosciuto il messaggio come falso e ha avvisato i lettori di non fare clic sui link.
Un difetto falso inviato da un indirizzo reale
Ciò che ha reso efficace la campagna non è stata la vulnerabilità fabricata, ma il modo in cui l'email è stata ricevuta. Un destinatario ha rivelato che l'email proveniva da [email protected], ha seguito il percorso della campagna Sendinblue ed è passata i controlli DKIM, SPF e DMARC.
L'avviso specificava che uno su quattro dispositivi può essere compromesso e che le frasi di recupero potrebbero non avere abbastanza casualità o entropia. Questo linguaggio ricordava da vicino i problemi descritti nel recente attacco a Coldcard.
Trezor ha riportato di aver interrotto il dominio utilizzato per inviare gli avvisi e di aver iniziato a indagare su come i truffatori siano riusciti a utilizzare la loro infrastruttura di invio legittima. L'avviso pubblico dell'azienda è uscito subito dopo le 16:30 ora orientale del 9 settembre, solo poche ore dopo che i suoi utenti hanno iniziato a segnalare le email.
La violazione potrebbe estendersi oltre Trezor
Secondo Nick Neuman, co-fondatore e CEO di Casa, sembra esserci una tendenza simile tra gli utenti di BitBox e che un comune provider di email marketing potrebbe essere stato compromesso.
Questo è il problema più ampio. I produttori di wallet possono rendere i loro dispositivi più sicuri, ma il loro brand può ancora essere rubato attraverso mezzi che non gestiscono completamente, dai provider di servizi email alle aziende di spedizione e ai processori di pagamento.
Le violazioni dei dati non sono exploit di dispositivo
In un precedente rapporto di Cryptopolitan, è stato rivelato che i tentativi di phishing contro gli utenti di Ledger hanno trovato la loro strada anche nella posta fisica. Tuttavia, va notato che questi casi sono diversi da quelli degli exploit di dispositivo poiché una violazione dei dati compromette l'identità e le informazioni di contatto, mentre un exploit di dispositivo può mettere a rischio anche le attività finanziarie.
Gli attacchi ai wallet hardware verificatisi nel 2026 rendono chiara questa distinzione. SafePal ha ammesso che c'era un errore di autorizzazione in uno dei suoi plugin di tracciamento degli ordini che ha portato all'esposizione dei dati di circa 39.798 clienti, e che le seed phrase, le chiavi private e le credenziali del wallet di questi clienti non sono state compromesse.
La violazione di ShipMonk di Trezor ha alla fine aumentato il numero di clienti interessati a 80.689 dopo che l'azienda ha appreso che i vecchi record degli ordini degli Stati Uniti risalenti dal 2019 al 2021 erano anche memorizzati ed esposti. Similmente, a gennaio, l'incidente di Global-e di Ledger ha visto anche l'esposizione dei dettagli degli ordini e delle informazioni di contatto dei suoi clienti, senza che il numero esatto di clienti fosse divulgato.
Nel suo confronto di agosto, Memeburn ha correttamente classificato Ledger, Trezor e SafePal sotto "violazioni dei dati" identificando Coldcard come "exploit di dispositivo". La cifra indicata di 13.689 menzionata da Memeburn in riferimento a Trezor, tuttavia, è precedente all'aggiornamento di Trezor del 4 settembre.
Coldcard si distingue dal resto. Secondo Galaxy Research del 14 agosto, ha confermato 190 vittime direttamente, nonché oltre 86.000 indirizzi interessati e almeno 112,7 milioni di dollari in valore di 1.778,84 BTC rubati a causa di difetti nel firmware. Altre stime avevano posto la possibile perdita vicina ai 130 milioni di dollari.
Il contesto trapelato alimenta il phishing industrializzato
Il pericolo in una lista di spedizione trapelata è ciò che accade dopo. Chainalysis ha stimato che le truffe e le frodi crypto hanno rubato 17 miliardi di dollari nel 2025, mentre le truffe di impersonificazione sono cresciute di oltre il 1.400% su base annua. Ha anche scoperto che le truffe con collegamenti on-chain ai fornitori di IA hanno generato 4,5 volte più ricavi per operazione rispetto a quelle senza tali collegamenti.
Un record di acquisto di un wallet hardware può quindi diventare un file di targeting. Un nome abbinato a un'email, numero di telefono, indirizzo di casa e conferma che qualcuno possiede un dispositivo di sicurezza crypto dà ai criminali il contesto per creare email, chiamate, lettere o persino approcci fisici convincenti.
La lezione dall'ultimo incidente di Trezor non è che i wallet hardware hanno fallito. È che il perimetro di sicurezza ora include i sistemi che li circondano, e gli attaccanti hanno sempre più bisogno solo di un messaggio dall'aspetto affidabile per superare le difese.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
L'hardware di Trezor o la frase di recupero sono stati effettivamente compromessi?
No. Trezor ha dichiarato che l'email era un tentativo di phishing inviato tramite un provider di posta elettronica di terze parti violato e che la presunta vulnerabilità hardware STM32 era inventata; la sicurezza del dispositivo non è stata interessata.
Come ha fatto l'email falsa a superare i filtri antispam?
Secondo un rapporto di un utente citato da Decrypt, il messaggio sembrava provenire da [email protected] ed è passato attraverso i controlli di autenticazione DKIM, SPF e DMARC perché gli attaccanti lo hanno inviato tramite il percorso legittimo di invio email di Trezor invece di spoofarlo dall'esterno.
La campagna di phishing ha colpito solo gli utenti di Trezor?
Il CEO di Casa, Nick Neuman, ha dichiarato su X che gli utenti di BitBox hanno segnalato le stesse email e che è probabile che un provider di email marketing condiviso sia stato compromesso, suggerendo che la campagna si estenda oltre Trezor.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun utilizza al meglio la sua laurea magistrale in Ingegneria Ambientale e Gestione (MSc) presso l'Università Tecnologica di Tallinn (TalTech) per affinare le notizie su contenuti e previsioni dei prezzi su Cryptopolitan. Ora al suo 7° anno nello spazio mediatico crypto, copre le principali criptovalute, altcoin, DeFi, stablecoin, trend macroeconomici e tecnologie emergenti.
