Trezor: 81.000 clienti esposti, ShipMonk aveva violato il contratto di

Nota editoriale: Non è disponibile un advisory vendor primario strutturato da Trezor o ShipMonk. Il reporting si basa su fonti editoriali di cybersecurity e comunicazioni di Trezor via terze parti.

Trezor ha aggiornato il 4 settembre 2026 la stima del data breach di agosto: le vittime non sono 14.000, ma 81.000 clienti totali. Il caso rivela un fallimento nella gestione dei dati con terze parti, dove un fornitore logistico ha conservato dati personali nonostante assicurazioni scritte ripetute nel tempo.

L'incidente ha origine nel provider di fulfillment ShipMonk, non nei sistemi Trezor. I dispositivi hardware restano intatti. Il danno è nella esposizione di nomi, email, numeri di telefono, indirizzi di spedizione e numeri d'ordine di clienti crypto.

I due conteggi del breach: da 14.000 a 81.000 in tre settimane

Trezor aveva inizialmente divulgato il 13 agosto 2026 che circa 14.000 clienti erano stati colpiti, con ordini tra il 10 maggio e l'8 agosto 2026, concentrati in Brasile, Colombia, Italia, Portogallo, Svezia e Regno Unito. L'aggiornamento del 4 settembre 2026 ha ampliato la portata dell'incidente: altri 67.000 clienti statunitensi, con ordini piazzati tra il 10 novembre 2019 e l'8 agosto 2021, risultano esposti.

Secondo The Hacker News, il conteggio iniziale era di 13.689 clienti, con ulteriori 1.947 clienti con esposizione parziale limitata a nome, città ed email senza indirizzo di spedizione. Trezor non ha spiegato pubblicamente il ritardo nella scoperta dei 67.000 record aggiuntivi.

Il meccanismo: SQL injection zero-day in Metabase

L'accesso ai sistemi ShipMonk è avvenuto tramite CVE-2026-72898, vulnerabilità SQL injection in Metabase classificata CVSS 10.0 CRITICAL. The Hacker News la descrive come zero-day exploitation: l'attaccante ha ottenuto accesso amministrativo all'istanza Metabase del provider logistico, raggiungendo i dati cliente di diversi suoi clienti, Trezor incluso.

Holborn, citato da The Hacker News, ha inquadrato l'incidente come supply chain attack: "The Trezor breach was the result of a supply chain attack beginning with a zero-day vulnerability... By finding and exploiting the SQL injection flaw in Metabase, the attackers were able to exploit several of its customers". ShipMonk ha ricevuto email di estorsione dal gruppo ShinyHunters. Il gruppo appare documentato come mittente delle richieste estorsive; l'attribuzione come attaccante iniziale proviene da Holborn.

I dati conservati oltre il contratto

L'elemento distintivo del caso è contrattuale. Trezor ha dichiarato, attraverso BleepingComputer:

"Throughout our entire relationship with ShipMonk, we repeatedly requested and received written assurance confirming the deletion of the data, in line with our contract, data policy, and past communications. We are very disappointed that, despite receiving this confirmation, the data was not deleted in their systems."

La policy di retention di Trezor prevede la cancellazione dei dati degli ordini eShop entro 90 giorni. I 67.000 clienti US aggiuntivi hanno ordini risalenti al 2021: per questi record, il superamento della soglia è di anni, non di giorni. Trezor ha indicato di aver ricevuto solo assicurazioni scritte, senza poter verificare direttamente i sistemi del fornitore.

Non risulta un advisory pubblico di ShipMonk nelle fonti disponibili, né è chiaro se Trezor intraprenderà azioni legali.

Il rischio per i possessori di wallet hardware

I dati esposti — nome, email, numero di telefono, indirizzo di spedizione, numero d'ordine — non includono chiavi private né credenziali di accesso ai wallet. Trezor ha sottolineato che i dispositivi hardware restano sicuri e i sistemi aziendali non sono stati compromessi.

Nella notifica ai clienti, citata da BleepingComputer, Trezor ha avvertito: "Be aware of the increased risk of phishing. The leaked information could be used for scam emails, fraudulent calls or letters, and could potentially expose affected individuals to physical security risks". Il rischio fisico, documentato da Trezor come potenziale, collega identità reali a possesso di asset crypto tramite gli indirizzi di spedizione esposti.

Cosa fare adesso

• Verificare la provenienza di ogni comunicazione che citi Trezor, ordini passati o aggiornamenti di sicurezza: i dati esposti consentono phishing personalizzato con riferimenti a numeri d'ordine reali.
• Non interagire con link o allegati in email, SMS o chiamate che richiedano azioni urgenti su wallet o dispositivi: Trezor non richiede aggiornamenti via comunicazioni dirette di questo tipo.
• Contattare il supporto Trezor esclusivamente attraverso i canali ufficiali del sito, non rispondendo a comunicazioni in entrata.
• Valutare misure di sicurezza fisica se l'indirizzo di spedizione è noto come associato a possesso di asset crypto significativi.

Contesto: un precedente nel gennaio 2024

Nel gennaio 2024 Trezor aveva subito un altro breach di 66.000 utenti tramite portale di supporto terzo. I due incidenti coinvolgono vettori diversi: il breach 2024 tramite provider di supporto, quello 2026 tramite provider logistico. Non è disponibile nel brief alcuna analisi che li colleghi come pattern sistemico.

Domande frequenti

I wallet Trezor sono stati compromessi?
No. I dispositivi hardware e i sistemi Trezor non sono stati violati. L'incidente riguarda dati personali gestiti da ShipMonk.

ShipMonk ha confermato pubblicamente l'incidente?
Non risulta un advisory pubblico di ShipMonk nelle fonti disponibili. Trezor ha riferito di aver ricevuto notifica da ShipMonk il 10 agosto 2026.

Quali dati sono stati esposti?
Nome, email, numero di telefono, indirizzo di spedizione e numero d'ordine. Non chiavi private, seed phrase né credenziali di accesso.

Chi ha attaccato ShipMonk?
Il gruppo ShinyHunters ha inviato email di estorsione a ShipMonk. L'attribuzione come attaccante iniziale, con l'exploit di CVE-2026-72898, proviene da Holborn citato da The Hacker News.

Perché i dati del 2019-2021 erano ancora disponibili?
ShipMonk non li aveva cancellati nonostante assicurazioni scritte ripetute, in violazione del contratto con Trezor.

Le informazioni si basano sulle fonti editoriali citate. Non è disponibile un advisory vendor primario strutturato da Trezor o ShipMonk.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/trezor-data-breach-impact-now-reaches-81-000-customers/
• https://thehackernews.com/2026/09/trezor-says-shipmonk-breach-exposed.html
• https://we-fix-pc.com/2026/09/07/trezor-data-breach-impact-now-reaches-81000-customers/
• https://blog.netmanageit.com/trezor-data-breach-impact-now-reaches-81-000-customers/
• https://www.hendryadrian.com/trezor-data-breach-impact-now-reaches-81000-customers/
• https://www.secnews.gr/en/731174/trezor-shipmonk-diarroi-81000-pelates/
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/
• https://www.bleepingcomputer.com/vpn/