Trezor ha confermato che la violazione dati presso il partner logistico ShipMonk ha esposto informazioni personali di oltre 80.000 clienti. Il 4 settembre, la società ha aggiunto 67.000 clienti statunitensi al totale, dopo aver scoperto che vecchi record non erano stati cancellati.
L’espansione della violazione dati Trezor-ShipMonk
Il 2 settembre 2026, ShipMonk ha informato Trezor che la violazione includeva dati di ordini precedenti, risalenti al periodo di cooperazione tra novembre 2019 e agosto 2021. Questi record avrebbero dovuto essere eliminati secondo la policy di conservazione di 90 giorni di Trezor.
I dati esposti per i 67.000 clienti statunitensi includono nome completo, indirizzo email, numero di telefono, indirizzo di spedizione e numero d’ordine. L’incidente iniziale, comunicato il 13 agosto, aveva coinvolto 13.689 clienti in sette paesi: Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo.
Per i clienti più recenti, 11.742 hanno avuto esposizione completa di nome, email, telefono e indirizzo, mentre 1.947 hanno avuto esposizione parziale limitata a nome, città ed email. Gli ordini interessati sono stati consegnati tra il 10 maggio e l’8 agosto 2026.
Le implicazioni per la sicurezza dei dati crypto
La violazione espone i clienti Trezor a rischi di phishing mirato, truffe telefoniche, posta fraudolenta e potenziali minacce alla sicurezza fisica. I dati includono indirizzi di casa associati a detentori di criptovalute, creando un elenco identificabile di possessori di hardware wallet.
Trezor ha dichiarato che i propri sistemi, dispositivi, chiavi private e backup dei wallet non sono stati compromessi. La violazione è limitata ai dati gestiti da ShipMonk, il partner logistico che magazzina e spedisce i prodotti Trezor.
La policy di conservazione di 90 giorni di Trezor richiede ai partner di eliminare o anonimizzare i dati dei clienti entro 90 giorni dalla raccolta. Il fatto che record risalenti al 2019-2021 siano rimasti nei sistemi di ShipMonk indica una mancata applicazione di questa policy.
