Il caso Trezor-ShipMonk spiegato: cosa insegna a chi detiene cripto in autonomia

Un fornitore di Trezor, ShipMonk, ha subito una violazione dei dati che ha esposto le identità di quasi 14.000 clienti, senza toccare le chiavi private. Ecco perché il rischio non è scomparso, ma solo cambiato natura.

Milano, 19 agosto 2026 - Nei giorni scorsi Trezor ha comunicato che ShipMonk, il fornitore che immagazzina e spedisce i suoi hardware wallet, ha subito una violazione dei dati: nome, indirizzo di spedizione, telefono, email e numero d’ordine di quasi 14.000 clienti. Nessuna chiave privata è stata toccata, nessuna cripto-attività è stata movimentata. Ma è proprio questo il punto che vale la pena analizzare: quando le chiavi restano al sicuro ma l’identità e l’indirizzo di casa escono comunque, il rischio non scompare, si trasforma. Ed è un rischio che riguarda chiunque custodisca cripto-attività in autonomia, non solo i clienti Trezor.

Il caso Trezor spiegato in breve

ShipMonk ha informato Trezor il 10 agosto dell’accesso non autorizzato; l’avviso pubblico è del 13 agosto. L’esposizione riguarda 11.742 clienti con dati completi (nome, email, telefono, indirizzo) e 1.947 con dati parziali, per ordini consegnati tra il 10 maggio e l’8 agosto 2026 in sette paesi, Italia compresa. A limitare i danni è stata una politica di conservazione dati che impone la cancellazione degli ordini più vecchi di novanta giorni. Trezor ha già annunciato un’opzione di consegna anonima in arrivo entro fine 2026.

Perché un indirizzo vale più di una email

Un’email isolata ha scarso valore per un truffatore. Nome, indirizzo di casa e telefono insieme identificano invece una persona precisa, che nelle ultime settimane ha acquistato un dispositivo il cui unico scopo è custodire chiavi private. Il rischio più immediato è il phishing mirato: comunicazioni false ma credibili perché basate su dati veri. Quello meno immediato, ma più serio, è fisico. La coercizione fisica dei detentori di cripto-attività (i cosiddetti wrench attack) è in crescita strutturale: la base dati pubblica mantenuta dall’esperto di sicurezza Bitcoin Jameson Lopp raccoglie oltre 260 casi noti dal 2014, mentre la società di sicurezza blockchain CertiK ha contato 52 episodi nel primo semestre 2026 contro 39 nello stesso periodo del 2025. L’Europa è passata dal 22% a oltre il 40% del totale globale, con la Francia in testa. Lopp ha segnalato nel 2026 diversi casi di identità scambiata o informazioni obsolete: le liste, una volta uscite, non si aggiornano e non scadono.

Non è un caso isolato: il fornitore è l’anello debole

Lo schema si ripete con regolarità. Nel 2020 Ledger ha subito l’esposizione dei dati dei clienti attraverso un partner di ecommerce; nel gennaio 2026 sono stati esposti i dati Ledger presso Global-e. Ora ShipMonk per Trezor. In nessuno dei tre casi il produttore è stato violato, e in nessuno dei tre casi questo ha protetto i clienti: la vendita di un dispositivo fisico richiede una catena di fornitori, ognuno con superfici di attacco indipendente dal produttore.

Cosa fare se il caso ti riguarda

Chi ha ricevuto la notifica di Trezor non deve trasferire i fondi: le chiavi non sono compromesse, a differenza di quanto avvenuto nell’incidente Coldcard di luglio. Le indicazioni sono altre:

• trattare ogni sollecitazione urgente come un segnale di allarme, verificando sui canali ufficiali del produttore;
• non digitare mai il backup del wallet su un sito web, per nessuna ragione;
• diffidare della corrispondenza cartacea: l’indirizzo di casa è noto all’attaccante;
• valutare la propria esposizione fisica e la discrezione con cui si parla dei propri investimenti;
• per gli acquisti futuri, ridurre i dati conferiti (email non collegata all’identità reale, pagamento in cripto o carte virtuali usa e getta, ritiro presso punti di consegna).

Il limite non è il dispositivo: è la persona

“‘Not your keys, not your coins’ descrive un rischio reale, quello dell’affidamento a un custode inaffidabile, ma ne occulta un altro: se le tue chiavi sono a casa tua, il punto di attacco diventi tu”, commenta Ferdinando Ametrano, amministratore delegato di CheckSig. “La custodia in autonomia non ha soltanto un rischio tecnico, ha un rischio personale, che nessun aggiornamento di firmware può correggere. Deve restare sempre possibile, ma va scelta sapendo cosa comporta: chi è coinvolto in questa violazione non ha commesso alcun errore, ha solo comprato un dispositivo e fornito il proprio indirizzo per riceverlo”.

Il ruolo della custodia professionale

Nella custodia professionale di CheckSig la geografia del rischio è diversa per due ragioni strutturali. La prima è la separazione tra identità e infrastruttura fisica: chi affida la custodia a un intermediario regolamentato non riceve un dispositivo a casa e nessun corriere tratta l’associazione fra un nome, un indirizzo e un dispositivo di custodia; l’identità del cliente resta comunque nota all’intermediario, ma è sottoposta a un regime di minimizzazione e conservazione conforme al GDPR, MiCAR e DORA, con obbligo di segnalazione degli incidenti alle autorità di vigilanza.

La seconda ragione è più rilevante alla luce di questo caso specifico: anche conoscendo l’indirizzo di un cliente, un attaccante non può ottenere nulla se quel cliente non è nella posizione di muovere i fondi da solo, sotto costrizione, nell’immediato. È l’architettura a rendere inefficace la coercizione fisica, non la riservatezza dell’indirizzo. CheckSig applica questo principio nel proprio protocollo di custodia: tre stadi autorizzativi a firma multipla per un totale di undici chiavi, distribuite fra soggetti e luoghi diversi, con time lock che impediscono il trasferimento immediato. La verificabilità del modello è ciò che lo rende un presidio reale: da qui la Prova-delle-Riserve pubblica, le attestazioni SOC indipendenti e le coperture assicurative.