Trezor, la certificazione fantasma: ShipMonk conservava dati per anni

Trezor ha rivelato il 4 settembre 2026 che altri 67.000 clienti statunitensi sono stati esposti nella violazione dati del suo fornitore logistico ShipMonk, portando il totale stimato oltre 80.000. La notizia non riguarda un nuovo attacco, ma la scoperta che ShipMonk aveva conservato nei propri sistemi informazioni che aveva ripetutamente certificato come eliminate. I dati coprono ordini effettuati tra novembre 2019 e agosto 2021, ben oltre i 90 giorni di retention previsti dal contratto.

La divulgazione espande la disclosure iniziale di agosto, quando Trezor aveva comunicato l'esposizione di 13.689 clienti. ShipMonk aveva notificato l'intrusione il 10 agosto 2026, riferendo accesso non autorizzato ai propri sistemi. La fonte non specifica se i due gruppi di clienti si sovrappongano parzialmente o siano completamente distinti.

La compliance che non ha cancellato nulla

Il meccanismo centrale della violazione non è tecnicamente nel wallet di Trezor, ma nella disconnessione tra governance documentale e implementazione operativa di ShipMonk. Trezor ha dichiarato di aver "ripetutamente richiesto e ricevuto assicurazioni scritte" che confermavano la cancellazione dei dati, in linea con il contratto, la policy aziendale e le comunicazioni precedenti. La policy di retention prevista è di 90 giorni: termine oltre il quale, secondo Trezor, "non abbiamo motivo di conservare il tuo indirizzo o numero di telefono".

I dati effettivamente esposti coprono però un arco di quasi due anni, dal novembre 2019 all'agosto 2021. Trezor ha espresso dissenso esplicito: "Siamo molto delusi che, nonostante questa conferma, i dati non fossero stati cancellati nei loro sistemi". La delusione pubblica di un vendor verso un fornitore di terze parti indica una rottura relazionale significativa, oltre che un possibile preludio a contestazioni legali non ancora documentate.

Il vettore tecnico: Metabase e la CVE-2026-72898

L'accesso non autorizzato ai sistemi di ShipMonk è avvenuto mediante lo sfruttamento zero-day della CVE-2026-72898, vulnerabilità di SQL injection critica nella piattaforma di business intelligence Metabase, con punteggio CVSS 3.1 di 10.0. Il vettore di attacco è classificato come accessibile via rete, con complessità bassa, senza requisiti di privilegi o interazione utente, con impatto elevato su riservatezza, integrità e disponibilità.

Il dossier non contiene dettagli tecnici indipendenti sulla vulnerabilità né verifica della sua presenza nel database CVE ufficiale. Secondo la fonte primaria, l'azienda di sicurezza Holborn ha collegato la violazione al gruppo di estorsione ShinyHunters. Questa attribuzione non è corroborata da fonti multiple nel dossier.

ShipMonk ha dichiarato di aver "messo in sicurezza i sistemi interessati e migliorato la sicurezza" dopo l'intrusione. Il dossier non specifica la natura tecnica di questi miglioramenti né se siano stati oggetto di verifica indipendente.

"Dopo 90 giorni cancelliamo o anonimizziamo tutti i dati cliente relativi a un acquisto sul nostro eShop Trezor. Dopo di che non abbiamo motivo di conservare il tuo indirizzo o numero di telefono." — Trezor, via The Hacker News

Dal phishing alla minaccia fisica

Trezor ha definito questo il primo breach dalla fondazione dell'azienda nel 2013 che espone numeri di telefono e indirizzi di spedizione dei clienti. La novità non è marginale: fino a oggi le violazioni precedenti avevano riguardato principalmente indirizzi email, che espongono a campagne di phishing ma non identificano la vittima geograficamente.

La combinazione di nome, indirizzo fisico, numero di telefono e cronologia ordini di dispositivi di custodia crypto trasforma i clienti in target identificabili con precisione. Trezor ha dichiarato che "le informazioni trapelate potrebbero essere utilizzate per email truffaldine, chiamate fraudolente o lettere, e potrebbero potenzialmente esporre gli individui interessati a rischi per la sicurezza fisica". Il dossier non quantifica né documenta casi concreti di minacce fisiche verificatesi.

Il rischio di "wrench attacks" — minacce fisiche per estorcere chiavi private — è evidenziato nel contesto del settore da fonti secondarie che citano dati Chainalysis, ma questi dati non sono verificabili indipendentemente nel dossier. La logica è lineare: chi acquista un wallet hardware è per definizione detentore di asset digitali, e la conoscenza dell'indirizzo di spedizione abbassa il costo di ricerca della vittima per eventuali aggressori.

Perché è importante

Il caso espone un pattern sistemico nella supply chain logistica: le certificazioni di cancellazione dati sono spesso procedure documentali prive di verifica tecnica. Trezor ha ricevuto garanzie scritte che si sono rivelate inaffidabili, senza meccanismo di audit che controllasse l'effettiva rimozione dai sistemi del fornitore. La fonte non specifica se Trezor abbia condotto verifiche indipendenti prima dell'incidente, né se ShipMonk abbia pubblicamente riconosciuto la violazione — la fonte primaria afferma infatti che ShipMonk "non ha ancora riconosciuto" l'evento.

Il dossier non documenta misure correttive specifiche né azioni legali intraprese da Trezor. L'azienda ha dichiarato di essere al lavoro sull'introduzione della consegna anonima per ridurre le informazioni personali raccolte, ma non fornisce tempistiche né dettagli implementativi. Non è noto se i dati siano stati effettivamente esfiltrati dall'attaccante o solo resi accessibili durante l'intrusione.

Il limite metodologico centrale resta la mancata verificabilità indipendente: i clienti di Trezor devono affidarsi alle dichiarazioni del vendor e del suo fornitore, senza evidenza tecnica pubblica della catena di custody dei dati. La violazione non ha compromesso i sistemi, i dispositivi, le chiavi private o i backup dei wallet — ma questo conforto tecnico non mitiga l'esposizione fisica e identificativa dei possessori.

Trezor ha notificato direttamente i clienti interessati. Per chiunque abbia effettuato ordini nel periodo novembre 2019 - agosto 2021, l'esposizione è documentata come reale, indipendentemente dalle incertezze sull'attribuzione dell'attacco e sull'effettiva esfiltrazione.

Le informazioni sono basate sul provvedimento citato e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/trezor-says-shipmonk-breach-exposed.html
• https://newscord.org/article/trezor-says-shipmonk-breach-exposed-67000-more-us-customers-total-reaches-80700--Story_20260904_Trezorsaysdatabreach1d08c850
• https://www.cryptotimes.io/2026/09/05/trezor-breach-explodes-as-67000-more-u-s-customers-are-exposed/
• https://cryptoadventure.com/trezor-shipmonk-breach-expands-to-67000-more-u-s-customers/
• https://cryptorank.io/news/feed/25d0d-trezor-shipmonk-data-breach-67000-customers
• https://unchainedcrypto.com/trezor-says-shipping-partner-kept-customer-data-it-certified-as-deleted-exposing-67000-more/
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/search/label/Vulnerability
• https://thehackernews.com/search/label/Cyber%20Attack

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti