Trezor ha comunicato il 9 settembre 2026 che una violazione presso un fornitore email esterno ha permesso l’invio di messaggi phishing dal dominio legittimo mailing.trezor.io. La campagna mirava a indurre gli utenti a consegnare la seed phrase del wallet.
Trezor conferma l’accesso al dominio email
Trezor ha pubblicato l’avviso alle 21:43 UTC del 9 settembre sul proprio forum ufficiale. L’azienda ha chiarito che la violazione ha riguardato un provider di posta elettronica terzo, non i sistemi Trezor.
I messaggi arrivavano apparentemente dal dominio legittimo mailing.trezor.io. Tale elemento rende l’episodio più insidioso del phishing tradizionale, perché l’indirizzo del mittente può apparire coerente con le comunicazioni autentiche dell’azienda.
L’email fraudolenta riportava l’oggetto “Critical Security Alert: STM32 Entropy Vulnerability”. Trezor ha confermato che la comunicazione era falsa, ha rimosso il dominio collegato nella campagna e ha avviato un’indagine per capire come sia stato ottenuto l’accesso al dominio di invio.
Il punto fermo, per ora, è questo: il provider esterno è stato compromesso. Trezor non ha comunicato ulteriori dettagli tecnici sulla modalità di accesso né ha attribuito pubblicamente l’attacco a un soggetto specifico.
L’allegato e il tentativo sulla seed phrase
Prima del comunicato Trezor, un utente del forum aveva segnalato alle 21:17 UTC di aver ricevuto i messaggi da mailing.trezor.io. Secondo la sua testimonianza, l’email includeva un file HTML allegato che tentava di acquisire la seed phrase e di trasmetterla a un bot Telegram.
Questa ricostruzione richiede una distinzione netta. Trezor ha confermato che la campagna era phishing, ma non ha validato in modo indipendente il meccanismo riferito dall’utente sul file HTML o sul bot Telegram. Si tratta quindi di un dettaglio riportato da un utente, non di una valutazione tecnica dell’azienda.
La differenza non è marginale. Nei casi di sicurezza, attribuire un comportamento a un allegato senza conferma può generare conclusioni affrettate. La società ha invece confermato di aver disattivato il dominio indicato nei messaggi e di proseguire gli accertamenti sul dominio legittimo usato per l’invio.
Il caso conta per gli utenti Trezor
Una seed phrase consente di ripristinare e controllare un wallet compatibile. Per questo un’email che chiede, direttamente o indirettamente, di inserirla su una pagina web o in un allegato deve essere trattata come sospetta, anche quando il mittente sembra autentico.
Il caso mostra un rischio concreto dei servizi esternalizzati. Un hardware wallet può restare fuori dalla compromissione, ma un canale di comunicazione con gli utenti può diventare il punto debole. La sicurezza non vive soltanto nel dispositivo. Vive anche nelle notifiche che arrivano nella casella email.
