Cosa ha esposto ShipMonk, e quando
Il 13 agosto 2026, Trezor ha comunicato ai clienti che ShipMonk, il fornitore esterno di magazzino e spedizioni utilizzato per evadere gli ordini dei wallet hardware, l'aveva informata tre giorni prima, lunedì 10 agosto, di un accesso non autorizzato ai sistemi contenenti dati dei clienti. L'esposizione riguarda ordini effettuati tra il 10 maggio e l'8 agosto 2026: a 11.742 clienti sono stati esposti nome completo, indirizzo email, numero di telefono e indirizzo di spedizione, mentre ad altri 1.947 è stato sottratto un insieme più ridotto, nome, città ed email.
I clienti coinvolti sono distribuiti in almeno sette paesi: Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Trezor ha dichiarato di aver notificato direttamente via email ogni cliente coinvolto, e che chi non ha ricevuto un avviso non rientra nell'esposizione.
Stessa falla, vittima diversa
ShipMonk ha comunicato a Trezor e ai propri clienti che l'intrusione risaliva a una vulnerabilità di SQL injection in Metabase, la piattaforma di business intelligence che molte aziende collegano ai propri dati operativi per gestire dashboard interne. Il dato è rilevante perché un'ondata distinta di violazioni a inizio mese, ai danni di Framework, Tally e LexisNexis, risaliva alla stessa falla di fondo in Metabase, con gli attaccanti che usavano un endpoint di reset password non autenticato per ottenere, uno dopo l'altro, accesso amministrativo all'istanza di ciascuna azienda.
ShipMonk ha anche confermato di aver ricevuto email di estorsione da ShinyHunters, un gruppo con una lunga storia di far seguire alle intrusioni su piattaforme SaaS e BI richieste dirette di pagamento all'azienda violata, invece di, o oltre a, rivendere i dati in silenzio. Trezor è stata esplicita nel dire che il proprio hardware, il firmware e i sistemi degli account non sono mai stati toccati: ShipMonk deteneva solo i dati di spedizione che Trezor le aveva affidato per far arrivare un pacco a una porta, e Trezor ha definito questa la prima violazione dalla fondazione nel 2013 a esporre numeri di telefono e indirizzi di spedizione dei clienti.
Perché qui un indirizzo di spedizione vale più di una password
La maggior parte delle violazioni di fornitori di questo tipo viene archiviata sotto lo stesso titolo: aspettarsi email di phishing più convincenti. Questa lettura sottostima ciò che rende diversa una lista di spedizione legata a un ordine di wallet hardware cripto. Ogni nome presente è un proprietario verificato, con indirizzo confermato, di hardware cripto in autocustodia, una combinazione che i criminali alla ricerca di bersagli fisici di solito non possono ottenere da una lista clienti SaaS rubata, da un dump di forum trapelato o dalla sola analisi on-chain.
Chainalysis, la società di analisi blockchain che monitora la criminalità legata alle criptovalute, ha documentato un'escalation di attacchi violenti e in presenza fisica contro possessori di cripto, i cosiddetti wrench attack, sequestri, invasioni domiciliari e coercizione, commessi proprio perché la vittima era nota o sospettata di possedere asset digitali recuperabili. Le cifre di Chainalysis collocano il valore rubato in questi attacchi fisici a oltre 30 milioni di dollari nel solo primo semestre 2026, già in rotta per superare i circa 58 milioni di dollari registrati in tutto il 2025. Una lista che consegna a un attaccante un nome, un indirizzo di casa e la prova concreta del possesso di un wallet hardware è esattamente il materiale su cui si alimenta questa tendenza.
Dove il copione standard non basta
Il primo istinto dopo una violazione simile è ricorrere alla consueta lista antiphishing: attenzione a falsi SMS di consegna, non cliccare link inattesi, verificare qualsiasi richiesta di conferma dell'indirizzo prima di rispondere. Questi passi contano, però rispondono qui al modello di minaccia sbagliato. Il phishing punta a uno schermo. Un wrench attack punta a una porta d'ingresso, e nessuna igiene delle email, per quanto buona, cambia chi ora ha in archivio l'indirizzo reale di un cliente insieme alla prova del possesso di un wallet hardware.
La risposta più utile per chiunque sia nella lista coinvolta di Trezor è fisica, non digitale: trattare il contatto di persona non richiesto, chi si presenta come corriere, tecnico o funzionario, con la stessa diffidenza riservata a un'email di phishing, evitare di confermare pubblicamente possedimenti cripto legati a un indirizzo di casa, e, dove l'esposizione include l'indirizzo completo, considerarlo un segnale per rivedere la sicurezza fisica di quel luogo invece di limitarsi a cambiare password che non sono mai state a rischio. Per qualunque azienda che spedisce un prodotto il cui solo possesso segnala che il cliente è benestante, cioè hardware cripto, gioielli o elettronica di alto valore, vale la stessa logica: i dati di un fornitore di fulfillment non sono solo un asset di privacy, sono una lista di bersagli in attesa di essere costruita, e meritano una revisione del rischio fisico accanto alla consueta verifica di sicurezza del fornitore.
Da leggere ora: Violazione CEVA colpisce i clienti Steam in Europa | La violazione LiteLLM è rimasta nascosta cinque mesi
