Data Breach Trezor e ShipMonk: oltre 80.000 clienti esposti via Metabase
- Una vulnerabilità zero-day (CVE-2026-72898) in Metabase ha permesso l'accesso ai dati di 67.000 clienti Trezor presso il provider ShipMonk.
- I dati esposti includono nomi, email, telefoni e indirizzi di spedizione di ordini effettuati tra il 2019 e il 2021.
- Trezor aveva ricevuto rassicurazioni scritte sulla cancellazione dei dati, che però erano ancora presenti nei sistemi del partner.
- Il rischio principale non è il furto di chiavi crittografiche, ma il phishing mirato e l'estorsione fisica (IRL phishing).
Una riga di codice in Metabase
Tutto è iniziato con una vulnerabilità critica. Il punto di ingresso per l'intrusione nei sistemi di ShipMonk, il partner logistico di Trezor, è stata l'estrazione di dati tramite una falla di SQL injection in Metabase, una piattaforma di analisi dati di terze parti. La vulnerabilità, identificata come CVE-2026-72898, ha registrato un punteggio CVSS di 10.0, il massimo livello di criticità.
Il 6 agosto 2026, Metabase ha notificato a ShipMonk che una parte non autorizzata aveva sfruttato il software per accedere a dati relativi ad account e clienti. Pochi giorni dopo, il 10 agosto, ShipMonk ha informato Trezor dell'accaduto. Non si è trattato di un attacco diretto all'infrastruttura di Trezor, ma di un classico esempio di vulnerabilità della supply chain: l'anello più debole era un fornitore di servizi di analisi utilizzato dal provider di spedizioni.
67.000 clienti traditi
L'entità del danno è emersa per gradi. Inizialmente, il 13 agosto 2026, Trezor aveva comunicato l'esposizione dei dati di 13.689 clienti distribuiti in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Di questi, 11.742 avevano subito l'esposizione completa (nome, email, telefono, indirizzo) e 1.947 solo parziale (nome, città, email).
La notizia è peggiorata il 5 settembre 2026. Trezor ha rivelato che altri 67.000 clienti statunitensi sono stati colpiti. I dati esposti riguardano ordini effettuati in un arco temporale molto più ampio: tra novembre 2019 e agosto 2021. L'informazione che trapela è inquietante per chiunque gestisca una rete di fornitori: i dati che l'azienda credeva eliminati erano ancora lì, pronti per essere prelevati.
Analisi strategica: Questo incidente evidenzia il rischio di dipendenza dai partner logistici. Per un imprenditore, il rischio non risiede solo nel proprio software, ma in ogni punto in cui i dati del cliente vengono condivisi per finalità operative. La superficie di attacco si espande proporzionalmente al numero di vendor coinvolti nel processo di fulfillment.
Il miraggio della cancellazione dei dati
Trezor ha implementato una politica di conservazione dei dati rigorosa: dopo 90 giorni dalla conclusione di un ordine (coprendo consegna, resi e sostituzioni), i dati vengono cancellati o anonimizzati. Questa finestra temporale è stata concordata con i partner di fulfillment per minimizzare l'esposizione.
Tuttavia, la realtà operativa di ShipMonk ha smentito le garanzie contrattuali. Trezor ha dichiarato: 'Throughout our entire relationship with ShipMonk, we repeatedly requested and received written assurance confirming the deletion of the data, in line with our contract, data policy, and past communications'. Nonostante queste rassicurazioni scritte, i dati degli ordini del 2019-2021 erano ancora presenti nei sistemi del provider.
Questo scollamento tra policy dichiarata e pratica tecnica è un rischio sistemico. Molte aziende si affidano a conferme formali (documenti, email, contratti) senza richiedere audit tecnici o prove di cancellazione effettiva. In questo caso, la fiducia nel partner si è trasformata in una vulnerabilità di sicurezza.
ShinyHunters e il metodo dell'estorsione
Dietro l'operazione non ci sono hacker isolati, ma un'organizzazione strutturata. Secondo la società di sicurezza blockchain Holborn, l'attacco è opera della gang di estorsione ShinyHunters. Questo gruppo è noto per colpire database di grandi aziende per poi rivendere le informazioni o ricattare le vittime.
Il metodo di ShinyHunters non mira necessariamente al codice crittografico dei wallet, che in questo caso è rimasto intatto. L'obiettivo è l'informazione contestuale. Sapere che una specifica persona, residente a un preciso indirizzo, ha acquistato un hardware wallet Trezor è un dato di immenso valore per l'ingegneria sociale.
L'estorsione si sposta quindi dal piano digitale a quello psicologico e fisico. Una volta acquisito l'elenco dei clienti, gli aggressori possono orchestrare campagne di phishing estremamente convincenti, citando numeri d'ordine reali e indirizzi di spedizione corretti per guadagnare la fiducia della vittima e indurla a rivelare la seed phrase (la chiave di recupero del wallet).
Perché l'indirizzo di casa è l'anello debole del cold storage
Il concetto di cold storage (conservazione offline delle chiavi) serve a proteggere i fondi dagli attacchi remoti. Tuttavia, l'esposizione dell'indirizzo fisico introduce il rischio del cosiddetto 'IRL phishing' (In Real Life phishing). Quando un criminale sa che in una determinata casa è custodito un hardware wallet, l'attacco può cambiare natura.
Le minacce concrete includono:
- Invio di lettere fisiche che imitano comunicazioni ufficiali di banche o di Trezor per richiedere l'inserimento della seed phrase su siti fake.
- Impersonificazione di corrieri o tecnici per ottenere l'accesso fisico all'abitazione.
- Targeting fisico per furti mirati o coercizione.
Trezor ha avvertito gli utenti di prestare attenzione a email, chiamate e lettere fraudolente. La regola d'oro rimane invariata: non inserire mai la frase di recupero su alcun sito web e non condividerla mai con il supporto tecnico. La sicurezza crittografica del dispositivo è perfetta, ma la sicurezza dell'utente è stata compromessa dalla fuga di dati logistici.
Lettura critica: Il paradosso è che l'acquisto di uno strumento di massima sicurezza (il wallet) crea una traccia digitale e fisica che, se trapelata, rende l'utente un bersaglio prioritario. La privacy della spedizione diventa, di fatto, l'estensione della sicurezza della chiave privata.
La responsabilità dei provider logistici tra GDPR e NIS2
L'incidente Trezor-ShipMonk apre un dibattito cruciale sulla responsabilità legale dei provider di servizi. In ambito europeo, il GDPR stabilisce che il titolare del trattamento (Trezor) sia responsabile della scelta di fornitori che garantiscano misure tecniche e organizzative adeguate. Tuttavia, quando un fornitore fornisce rassicurazioni scritte false sulla cancellazione dei dati, la responsabilità si sposta verso una possibile colpa grave del responsabile del trattamento (ShipMonk).
Con l'entrata in vigore della direttiva NIS2, i requisiti di sicurezza per la supply chain diventano ancora più stringenti. I provider logistici, se classificati come entità essenziali o importanti, dovranno rispondere di standard di sicurezza molto più alti, includendo la gestione delle vulnerabilità di terze parti (come quella di Metabase).
Per le imprese italiane che esternalizzano la logistica, questo caso suggerisce tre azioni immediate:
- Non limitarsi alle rassicurazioni contrattuali: richiedere prove di cancellazione dei dati (certificati di distruzione digitale).
- Mappare ogni software di terze parti utilizzato dai propri vendor (il rischio Metabase era nascosto in un sotto-fornitore).
- Implementare protocolli di notifica rapida che non dipendano solo dalla buona volontà del partner.
Scenari futuri e indicatori:
1. Aumento di attacchi di phishing postale mirati agli utenti crypto. Indicatore: Report di segnalazioni di lettere fraudolente presso le autorità di cybercrime europee entro i prossimi 6 mesi.
2. Revisione dei contratti di fulfillment con clausole di penale specifica per la mancata cancellazione dei dati. Indicatore: Inserimento di clausole di audit tecnico obbligatorio nei nuovi contratti di logistica B2B.
3. Evoluzione di servizi di spedizione anonimi o tramite locker per hardware wallet. Indicatore: Incremento della quota di mercato di servizi di consegna non nominali per prodotti di sicurezza.
Per approfondire i dettagli tecnici della vulnerabilità, è possibile consultare The Hacker News o monitorare l'archivio dei leak su BreachHistory.
Sintesi dell'esposizione dati
| Categoria Utenti | Numero | Dati Esposti | Periodo Ordini |
|---|---|---|---|
| Clienti USA (Seconda ondata) | 67.000 | Nome, Email, Telefono, Indirizzo, Ordine | Nov 2019 - Ago 2021 |
| Clienti Globali (Prima ondata) | 11.742 | Nome, Email, Telefono, Indirizzo | Mag - Ago 2026 |
| Clienti Globali (Esposizione parziale) | 1.947 | Nome, Città, Email | Variabile (in verifica) |
Implicazioni per le imprese italiane ed EU
Il caso evidenzia che per le aziende italiane l'adozione di software di analisi (come Metabase) o di provider logistici non può prescindere da una valutazione del rischio della supply chain. Sotto il profilo del GDPR, l'incapacità di ShipMonk di cancellare i dati nonostante le promesse scritte espone l'azienda a sanzioni severe e a cause per risarcimento danni. In ambito NIS2, l'incidente sottolinea l'obbligo di monitorare non solo i propri sistemi, ma l'intera catena di fiducia, dove un singolo zero-day in un tool di analytics può compromettere la privacy di decine di migliaia di clienti finali.
Domande frequenti
I miei fondi in criptovaluta sono a rischio?
No. Trezor ha confermato che i sistemi aziendali, i firmware dei dispositivi, le chiavi private e i backup dei wallet non sono stati compromessi. I fondi sono sicuri a livello crittografico.
Qual è il rischio reale se il mio indirizzo è trapelato?
Il rischio principale è l'ingegneria sociale. Gli hacker sanno che possiedi un wallet e possono inviarti email o lettere molto convincenti per convincerti a rivelare la tua seed phrase.
Perché Trezor non ha cancellato i dati direttamente?
Trezor ha richiesto la cancellazione a ShipMonk e ha ricevuto rassicurazioni scritte che l'operazione fosse stata eseguita. Il problema è stato l'inadempimento tecnico del provider logistico.
Fonti: Thehackernews, Yahoo, Breachhistory ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
