La fuga di dati Trezor annunciata nelle scorse ore non riguarda le chiavi private né i portafogli: riguarda le persone. Il produttore ceco di dispositivi per l’autocustodia ha comunicato che un accesso non autorizzato ai sistemi del proprio fornitore logistico ha esposto i dati di spedizione di 13.689 clienti. Nessuna moneta è stata toccata, e proprio per questo l’incidente è più insidioso di quanto sembri: quello che è uscito è l’elenco di nomi e indirizzi fisici di persone che quasi certamente detengono criptovalute.
La segnalazione è arrivata all’azienda il 10 agosto dal fornitore che gestisce l’evasione degli ordini, ShipMonk, e riguarda le consegne effettuate fra il 10 maggio e l’8 agosto 2026. I clienti coinvolti si trovano in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Portogallo e Italia.
Che cosa contiene la fuga di dati Trezor
Il perimetro è stato dichiarato con una precisione insolita. Su 13.689 clienti, 11.742 hanno visto esporre l’insieme completo dei dati di consegna: nome e cognome, indirizzo di spedizione, numero di telefono e indirizzo di posta elettronica. Per i restanti 1.947 l’esposizione è parziale e limitata a nome, città e posta elettronica.
Fuori dal perimetro restano, secondo la ricostruzione dell’azienda, i sistemi interni, i backup di recupero e qualunque informazione che permetta di muovere fondi. Un dispositivo di autocustodia non comunica saldi al produttore: la chiave resta nel dispositivo e la frase di recupero non transita mai dai server. La violazione ha colpito il livello più banale e meno protetto della catena, quello dei corrieri, che è anche il più difficile da controllare per chi vende hardware in tutto il mondo.
Perché un elenco di indirizzi vale più di un exchange bucato
La differenza fra questa lista e una qualunque anagrafica commerciale sta nella qualificazione. Chi compra un dispositivo per l’autocustodia dichiara implicitamente due cose: possiede criptovalute e le custodisce da sé, cioè senza un intermediario a cui chiedere il blocco di un’operazione o il rimborso. È esattamente il profilo che un truffatore cerca.
Da qui nascono tre rischi concreti. Il primo è il messaggio mirato: una comunicazione che cita il nome corretto, il modello acquistato e la data di consegna e invita ad «aggiornare il firmware» o a «verificare il backup» su un sito clone. Il secondo è la telefonata da finto supporto tecnico, resa credibile dal numero di telefono reale nell’elenco. Il terzo, il più sgradevole, è il rischio fisico: nome e indirizzo di casa associati a un possesso presunto di monete digitali sono la materia prima delle aggressioni domiciliari mirate, un fenomeno che negli ultimi due anni è cresciuto in Europa.
Il fondatore di Binance ha commentato pubblicamente l’episodio insistendo proprio su questo punto: il collegamento diretto fra identità, indirizzo fisico e possesso presunto di criptovalute è il vero danno, e i portafogli distribuiti come applicazione non lasciano una traccia di consegna equivalente. È un’osservazione ragionevole sul piano della riservatezza, non un verdetto sulla sicurezza: un dispositivo dedicato continua a proteggere la chiave meglio di un telefono connesso, come ha ricordato l’ondata di attacchi ai portafogli hardware di inizio agosto, dove però l’attacco passava dall’inganno dell’utente e non dal dispositivo.
Che cosa fare se si è fra i clienti coinvolti
La regola che risolve il novanta per cento dei casi è una sola: la frase di recupero non si digita mai, su nessun sito, in nessuna applicazione, per nessun motivo. Non esiste un aggiornamento, una verifica o un’assistenza legittima che la richieda. Chi la chiede sta rubando, anche se conosce il vostro nome e il vostro indirizzo.
Le altre precauzioni sono ordinarie ma vanno applicate ora: diffidare di ogni comunicazione non sollecitata che citi l’acquisto, digitare a mano l’indirizzo del sito ufficiale invece di seguire un collegamento ricevuto, verificare le operazioni sullo schermo del dispositivo e non su quello del computer, spostare l’autenticazione a due fattori dai messaggi telefonici a un’applicazione dedicata o a una chiave fisica, e diffidare di pacchi o dispositivi «sostitutivi» non richiesti. Vale la pena anche rivedere le proprie abitudini di consegna: casella postale o punto di ritiro al posto dell’indirizzo di casa per acquisti di questo tipo.
Resta una lezione di sistema. La sicurezza dell’autocustodia si misura sull’intera catena, non sul solo dispositivo: produttori, rivenditori, corrieri e piattaforme di pagamento raccolgono dati che, messi insieme, ricostruiscono un profilo che il protocollo era nato per non produrre. Il tema è già sul tavolo dei legislatori in più di un paese, dalla disciplina russa sui dispositivi hardware alle regole europee sulla tracciabilità. La fuga di dati Trezor mostra che il punto debole non è quasi mai la crittografia.
Contenuti a fini formativi, non consulenza finanziaria.