Una campagna di phishing Trezor è partita il 9 settembre 2026 sfruttando un incidente che ha coinvolto Brevo, il fornitore usato da Trezor per l’invio delle newsletter. Il messaggio falso imitava una comunicazione di sicurezza e cercava di convincere gli utenti a scaricare un’app e inserire il wallet backup, cioè la frase o sequenza di recupero che protegge il portafoglio.
La distinzione più importante è questa: se hai soltanto cliccato sul link e non hai inserito il wallet backup, Trezor afferma che i fondi non risultano esposti per il solo clic. Se invece hai inserito il backup o la recovery seed nell’app o nella pagina indicata dall’email, devi considerarlo compromesso e spostare subito i fondi su un nuovo wallet generato con un nuovo backup.
Cosa è successo tra Trezor e Brevo
Secondo la comunicazione ufficiale di Trezor pubblicata il 10 settembre, Brevo ha subito un incidente di sicurezza che ha interessato 120 account della piattaforma. Un soggetto non autorizzato ha quindi utilizzato il sistema di invio per spedire email dagli account dei clienti, compreso quello di Trezor.
Trezor tratta come potenzialmente conosciuti dall’attaccante gli indirizzi presenti nel database opt-in della newsletter, circa 347.000 email. L’azienda precisa però che l’incidente non ha coinvolto gli altri sistemi Trezor e che Brevo non conteneva password, dati dei wallet o altre informazioni personali legate ai dispositivi.
Come riconoscere l’email Trezor falsa
La mail malevola utilizzava l’oggetto “Critical Security Alert: STM32 Entropy Vulnerability”. Il testo spingeva l’utente ad aprire un link e scaricare un’app che, una volta avviata, chiedeva di inserire il wallet backup.
È proprio questa richiesta il segnale decisivo. Trezor ribadisce che non chiederà mai il wallet backup o la recovery seed tramite email, sito web, app scaricata da un messaggio o assistenza. La stessa regola vale in generale per qualsiasi segreto di recupero: chi lo ottiene può tentare di ricostruire il wallet indipendentemente dal dispositivo fisico.
Il meccanismo ricalca altre campagne basate sulla pressione psicologica. Nella nostra guida per riconoscere il phishing trovi i controlli da fare su mittente, link e richieste urgenti prima di aprire allegati o installare software.
Hai cliccato sul link ma non hai inserito la seed: cosa fare
Se hai aperto il link ma non hai digitato il wallet backup, Trezor specifica che il solo clic non espone i fondi. Il dominio malevolo è stato inoltre disattivato a livello DNS entro circa 20 minuti, ma prima del takedown circa 2.500 persone avevano già aperto il collegamento.
- Non riaprire il link e non utilizzare eventuali file già scaricati.
- Se hai scaricato un’app, non inserire seed, PIN o altre credenziali e rimuovi il software sospetto.
- Controlla il dispositivo con gli strumenti di sicurezza aggiornati, soprattutto se hai eseguito un file proveniente dall’email.
- Accedi ai servizi Trezor solo digitando direttamente l’indirizzo ufficiale o usando applicazioni installate da fonti verificate.
Hai inserito il wallet backup: cosa fare subito
Se hai inserito la recovery seed o il wallet backup nella pagina o nell’app indicata dall’email, devi assumere che quel segreto sia stato copiato. In questo caso Trezor raccomanda di spostare immediatamente i fondi su un nuovo wallet.
- Usa un dispositivo e un ambiente affidabili, non l’app ricevuta via email.
- Crea un nuovo wallet con un nuovo wallet backup.
- Trasferisci i fondi dal wallet associato al backup compromesso al nuovo wallet.
- Non riutilizzare la vecchia seed e non condividerla con nessun presunto operatore di supporto.
Il principio è simile a quello visto negli attacchi che cercano chiavi di recupero di altri servizi: nel caso del phishing contro i backup di Signal, il punto critico non è aggirare la cifratura, ma convincere la vittima a consegnare direttamente il segreto che la protegge.
Perché il rischio non finisce con il dominio disattivato
Il sito usato in questa campagna può essere stato neutralizzato, ma gli indirizzi email potenzialmente esposti restano utilizzabili per nuovi tentativi di social engineering. Per questo chi era iscritto alla newsletter Trezor dovrebbe aspettarsi possibili messaggi successivi che citano wallet, vulnerabilità, aggiornamenti urgenti o presunte verifiche di sicurezza.
Non è necessario disporre di password o dati del wallet per rendere credibile un messaggio: sapere che un indirizzo appartiene con buona probabilità a una persona interessata a Trezor consente già di costruire un’esca molto più mirata.
La regola da ricordare per Trezor
Una vulnerabilità annunciata con tono urgente può sembrare plausibile, soprattutto quando il messaggio arriva attraverso un sistema email realmente usato dal marchio. Ma il controllo decisivo resta semplice: nessun aggiornamento legittimo richiede di digitare la recovery seed in una pagina aperta da un’email.
Se hai ricevuto il messaggio “Critical Security Alert: STM32 Entropy Vulnerability”, eliminalo. Se hai soltanto cliccato senza inserire il backup, il solo clic non espone i fondi secondo Trezor. Se invece hai consegnato il wallet backup, crea un nuovo wallet con una nuova seed e trasferisci i fondi senza riutilizzare il segreto compromesso.
