Un attacco di phishing ha sfruttato una falla nel sistema email di Trezor per colpire direttamente i possessori di wallet hardware, usando messaggi che sembravano provenire in tutto e per tutto dal dominio ufficiale dell’azienda. L’episodio, riconosciuto pubblicamente da Trezor mercoledì, riaccende i riflettori sulla sicurezza dell’intero settore dei portafogli fisici per criptovalute, già scosso da precedenti violazioni di dati e da vulnerabilità hardware emerse nei mesi scorsi.

Punti chiave

• Il fornitore esterno di servizi email di Trezor è stato compromesso, permettendo l’invio di email di phishing dal dominio ufficiale dell’azienda.
• Le email fraudolente, con oggetto “Critical Security Alert: STM32 Entropy Vulnerability”, segnalavano una falsa vulnerabilità hardware nei dispositivi.
• Anche gli utenti di BitBox hanno ricevuto messaggi identici, segno che la violazione potrebbe riguardare più marchi.
• Il dominio malevolo è stato disattivato e Trezor ha aperto un’indagine interna.
• Al momento non sono state confermate perdite di criptovalute legate a questo attacco phishing a Trezor.

Violazione del sistema email di Trezor apre la strada al phishing

Trezor ha confermato che il proprio fornitore esterno di servizi email è stato violato, un varco che ha permesso ai criminali di spedire messaggi apparentemente legittimi ai clienti dell’azienda. Il caso, reso pubblico mercoledì attraverso un post ufficiale su X, rappresenta uno dei rischi più insidiosi per chi possiede un wallet hardware: non un difetto del dispositivo, ma un punto debole nella catena di comunicazione tra produttore e utente.

Email con dominio e firme ufficiali

Il messaggio incriminato portava l’oggetto “Critical Security Alert: STM32 Entropy Vulnerability” e sosteneva falsamente che un difetto hardware compromettesse il processo di generazione casuale delle seed phrase di recupero, mettendo teoricamente a rischio i fondi custoditi. L’analista crypto MHPaz ha pubblicato screenshot che mostrano come l’email chiedesse agli utenti di aggiornare i propri dispositivi per via di una vulnerabilità “critica” che avrebbe interessato i modelli più recenti. A differenza delle solite campagne di phishing, che imitano domini simili ma falsi, questi messaggi mostravano credenziali di dominio e firme digitali ufficiali, rendendoli praticamente indistinguibili da comunicazioni autentiche.

Trezor disattiva il dominio e apre un’indagine

La risposta dell’azienda è arrivata rapidamente. “Vi informiamo che l’email intitolata ‘Critical Security Alert: STM32 Entropy Vulnerability’ non proviene da noi ed è un tentativo di phishing. Non cliccate su alcun link”, ha scritto Trezor nel suo avviso pubblico. Il dominio malevolo utilizzato per distribuire le email è stato successivamente disattivato, mentre l’azienda ha avviato un’indagine per capire come gli aggressori siano riusciti a sfruttare il proprio dominio ufficiale per la campagna. Secondo alcuni analisti della sicurezza, la tempistica dell’operazione non sarebbe casuale: puntare sulle paure legate alla recente falla di sicurezza di Coldcard, che ha causato perdite in Bitcoin superiori a 130 milioni di dollari, avrebbe reso il messaggio ancora più credibile agli occhi delle vittime.

BitBox colpita allo stesso modo: infrastruttura condivisa nel mirino

Non è stata solo Trezor a finire nel mirino dei truffatori. BitBox, produttore svizzero di wallet hardware, ha segnalato lo stesso giorno la circolazione di email di phishing praticamente identiche sotto il proprio nome, un dettaglio che suggerisce come la violazione possa aver toccato più di un marchio contemporaneamente.

Casa conferma sospetti su una piattaforma email condivisa

Nick Neuman, CEO di Casa, ha ipotizzato su X che il punto di ingresso della violazione fosse una piattaforma comune di email marketing usata da più aziende del settore. “State attenti e non fidatevi delle email dei fornitori che vi spingono ad agire tramite link sospetti”, ha avvertito. Jameson Lopp, Chief Security Officer di Casa, ha rincarato la dose sottolineando che gli aggressori avrebbero probabilmente compromesso un’infrastruttura email utilizzata da diversi produttori di wallet: i messaggi, ha precisato, non erano falsificati ma inviati da server realmente legittimi, il che li rende particolarmente difficili da riconoscere anche per utenti esperti.

Questo aspetto è quello che rende l’episodio più preoccupante rispetto a un classico tentativo di phishing su Trezor: se davvero più marchi condividono la stessa infrastruttura di invio email, una singola violazione può trasformarsi in un problema di sicurezza sistemico per l’intero settore dei wallet hardware, non solo per un singolo produttore.

Non è la prima volta: i precedenti di Trezor

L’attacco phishing a Trezor arriva dopo mesi già turbolenti per l’azienda sul fronte della sicurezza dei dati e dell’hardware, e questo contesto aiuta a spiegare perché la fiducia degli utenti sia sotto pressione.

La violazione ShipMonk e i dati dei clienti esposti

Il mese scorso Trezor aveva già dovuto gestire un incidente rilevante: una violazione presso il proprio fornitore logistico ShipMonk aveva esposto le informazioni personali di 80.689 clienti, tra nomi, email, numeri di telefono e indirizzi fisici di spedizione. Inizialmente l’azienda aveva parlato di circa 13.700 clienti coinvolti, per poi ammettere che altri 67.000 utenti statunitensi erano stati toccati dalla stessa falla. All’epoca Trezor aveva avvertito che i dati sottratti avrebbero potuto alimentare campagne di phishing sempre più sofisticate: una previsione che, alla luce degli eventi recenti, appare tutt’altro che infondata.

Ledger e la vulnerabilità hardware del chip TROPIC01

A giugno, il team di ricerca sulla sicurezza Donjon di Ledger aveva reso nota una debolezza hardware nel chip TROPIC01 integrato nel modello Trezor Safe 7, dimostrando in laboratorio un attacco laser capace di eludere il sistema di verifica del firmware. Trezor aveva chiarito allora che nessun fondo degli utenti risultava a rischio a causa di quella specifica falla. Un episodio simile, per certi versi, era già accaduto a Ledger stessa nel 2020, quando una violazione aveva esposto i dati di oltre 270.000 clienti, con nomi, email, numeri di telefono e in alcuni casi indirizzi di casa finiti su un forum di hacker: ancora oggi alcuni utenti Ledger segnalano di ricevere chiamate truffa e lettere fisiche legate a quella fuga di dati.

Cosa devono fare ora gli utenti dei wallet hardware

Gli esperti di sicurezza consigliano di non interagire con nessuna email che segnali presunte vulnerabilità critiche dei propri dispositivi, finché non arriva una conferma ufficiale verificata direttamente sul sito dell’azienda produttrice. Ogni link ricevuto via email dovrebbe essere ignorato: la strada più sicura resta digitare manualmente l’indirizzo ufficiale nel browser. Al momento della pubblicazione di questa notizia, non risultano perdite confermate di criptovalute collegate a questa specifica campagna, ma la combinazione tra dati personali già esposti dalla violazione ShipMonk e la capacità degli attaccanti di inviare email da server legittimi rappresenta un mix pericoloso che potrebbe alimentare nuove ondate di truffe più mirate nei prossimi mesi.

FAQ

Come hanno fatto gli aggressori a inviare email di phishing dal dominio ufficiale di Trezor?

Gli aggressori hanno compromesso il fornitore esterno di servizi email di Trezor, riuscendo così a inviare messaggi che sembravano provenire dai canali di comunicazione ufficiali dell’azienda.

Qual era la falsa affermazione contenuta nelle email di phishing indirizzate agli utenti Trezor?

Le email sostenevano falsamente l’esistenza di una vulnerabilità hardware critica chiamata “STM32 Entropy Vulnerability”, che avrebbe compromesso la sicurezza dei wallet.

Sono stati registrati furti di criptovalute a causa di questo attacco di phishing?

Al momento della pubblicazione, non sono state confermate perdite di criptovalute attribuibili a questa operazione di phishing.

Quali precauzioni dovrebbero adottare gli utenti dei wallet hardware dopo questo attacco?

Gli utenti dovrebbero evitare di cliccare su link sospetti contenuti in email relative alla sicurezza e verificare ogni avviso direttamente sui siti ufficiali delle aziende produttrici.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.