Il recente episodio di phishing Trezor evidenzia un aspetto cruciale, e spesso sottovalutato, nella sicurezza delle criptovalute: il rischio non si limita esclusivamente al wallet hardware, al firmware o alla custodia del seed. Al contrario, la vulnerabilità si estende all’intera catena di fornitori che gestiscono le comunicazioni, gli ordini e i dati sensibili dei clienti. A seguito di un attacco che ha coinvolto Brevo, una società utilizzata per l’invio di newsletter, Trezor ha diramato un avviso agli utenti. Gli aggressori sono riusciti a distribuire circa 347.000 email fraudolente contenenti link malevoli.
Il ruolo critico del provider email nel phishing Trezor
La credibilità del messaggio rappresenta il punto focale di questo tipo di attacchi. Le email di phishing simulavano un presunto allarme di sicurezza, con un oggetto che faceva riferimento a una “STM32 Entropy Vulnerability”, e spingevano gli utenti a cliccare su un link. Il meccanismo descritto è risultato particolarmente pericoloso: il collegamento indirizzava al download di un’applicazione che, una volta installata, richiedeva la password di backup del wallet. Nel contesto delle criptovalute, la divulgazione di una credenziale così vitale può trasformare un errore di pochi istanti in una perdita irreversibile, poiché le transazioni su blockchain pubblica, a differenza dei bonifici bancari tradizionali, non possono essere annullate.
Brevo ha chiarito che gli aggressori hanno ottenuto accesso a 138 account, riuscendo a inviare un volume massivo di messaggi a causa di un problema di autorizzazioni non correttamente circoscritte. Trezor ha specificato che i propri prodotti, wallet e account non sono stati direttamente compromessi. Tuttavia, il danno operativo resta significativo: l’obiettivo dell’attaccante non è violare il dispositivo fisico, ma piuttosto convincere l’utente a consegnare volontariamente il segreto che lo protegge.
La ricostruzione dettagliata e i precedenti
Ulteriori dettagli sul contenuto delle email sono emersi, indicando che i messaggi fraudolenti sembravano provenire anche dall’indirizzo help@trezor.io.
Tali comunicazioni sostenevano l’esistenza di una vulnerabilità nei microcontrollori STM32 dei wallet Trezor, che avrebbe potuto esporre i seed a tentativi di brute force. Trezor ha prontamente smentito l’origine della comunicazione, esortando gli utenti a non cliccare su alcun link e annunciando la disattivazione del dominio coinvolto. L’azienda sta attualmente conducendo un’indagine per comprendere come gli aggressori abbiano ottenuto accesso a un dominio legittimo.
Questo episodio si collega a una precedente violazione del provider logistico ShipMonk, comunicata nell’agosto 2026. In quell’occasione, sarebbero stati esposti dati d’ordine quali nomi, indirizzi di spedizione, email e numeri di telefono.
L’impatto iniziale, stimato in quasi 14.000 clienti, è stato successivamente aggiornato a 81.000, includendo utenti in Brasile, Colombia, Italia, Portogallo, Svezia e Regno Unito che avevano effettuato ordini tra il 10 maggio e l’8 agosto 2026.
