Gli utenti di BitBox e Trezor colpiti dal phishing

Il 9 settembre 2026 BitBox (@BitBoxSwiss), produttore svizzero di hardware wallet Bitcoin, ha avvisato i propri utenti di una campagna di phishing in corso. Secondo la comunicazione ufficiale dell’azienda, un’email fraudolenta è stata inviata ai sottoscrittori della newsletter. La revisione preliminare ha indicato che è “molto probabile” che il provider della newsletter sia stato compromesso.

BitBox ha specificato che diverse altre aziende Bitcoin sono state colpite e che tutte sembrano condividere lo stesso provider di newsletter. L’azienda ha immediatamente inviato un avviso di phishing a tutti i sottoscrittori, contattato il provider e segnalato i domini utilizzati per le truffe. La maggior parte dei link di phishing risulta già offline, mentre l’indagine prosegue.

Nello stesso giorno anche Trezor ha confermato un incidente analogo: il proprio provider di email di terze parti è stato violato e utilizzato per inviare messaggi dal dominio ufficiale intitolati “Critical Security Alert: STM32 Entropy Vulnerability”. L’email falsamente affermava l’esistenza di un difetto nel microcontrollore STM32 che avrebbe generato seed deboli e invitava gli utenti a cliccare su un link per verificare.

Analisi tecniche indipendenti (tra cui quelle di YFarmX e Blocktrainer) indicano come provider comune Brevo (ex Sendinblue). Sono state create API key non autorizzate negli account compromessi e sono stati rilevati elementi di firma DKIM condivisi tra i domini di Trezor, BitBox e Shift Crypto.

Numerosi utenti hanno pubblicamente confermato di aver ricevuto l’email di phishing. Su X (ex Twitter) diversi possessori di dispositivi BitBox e Trezor hanno condiviso screenshot e testimonianze. Un utente ha dichiarato di aver ricevuto l’email fraudolenta due volte (alle 21:49 e alle 23:22 CET), altri hanno postato messaggi del tipo “I received the email too” o “received the scam email”, sottolineando che i messaggi sembravano provenire da indirizzi ufficiali (no-reply@bitbox.swiss e analoghi). Le segnalazioni degli utenti hanno contribuito a far emergere rapidamente la portata dell’attacco.

Analisi

L’attacco non si è basato su un semplice spoofing del mittente, ma sull’abuso di infrastruttura legittima autorizzata a inviare email per conto delle aziende. I messaggi superavano i controlli SPF, DKIM e DMARC perché effettivamente partivano dagli account di marketing compromessi. Questo rendeva le email particolarmente credibili.

Il vettore principale è stato il provider di newsletter condiviso. Quando un servizio di terze parti utilizzato da più aziende Bitcoin viene compromesso, l’impatto si amplifica rapidamente. L’obiettivo tipico di queste campagne è indurre l’utente a inserire la seed recovery phrase (o seed) su un sito malevolo o a scaricare software compromesso, sfruttando la paura di vulnerabilità hardware (RNG/entropia).

L’episodio evidenzia un rischio strutturale: molte aziende del settore affidano comunicazioni sensibili a piattaforme di email marketing esterne. Una volta che l’account del provider è violato, l’identità email dell’azienda stessa diventa uno strumento di attacco. Inoltre, precedenti incidenti di data leak (come quello legato a ShipMonk per Trezor) aumentano la probabilità di successo delle campagne di phishing mirate.

Opinione

Questo incidente è un richiamo chiaro a un principio fondamentale della sicurezza Bitcoin: “Don’t trust, verify”. Anche quando un’email arriva da un dominio ufficiale e passa tutti i controlli tecnici, non bisogna mai cliccare link o inserire seed phrase. Le uniche fonti affidabili restano i canali ufficiali verificati (sito web, account X, blog) e il dispositivo stesso.

Le aziende dovrebbero valutare seriamente la separazione tra infrastruttura di marketing e canali di comunicazione di sicurezza, e ridurre quanto più possibile la dipendenza da provider terzi per messaggi critici. Per gli utenti, la regola d’oro non cambia: nessun produttore di hardware wallet chiederà mai la seed phrase via email. Chi l’ha ricevuta e non ha interagito non ha subìto danni; chi ha cliccato o inserito dati deve trattare la seed come compromessa e trasferire i fondi su un nuovo portafoglio generato in sicurezza.

La reattività di BitBox e Trezor nel comunicare l’accaduto è positiva, ma l’episodio dimostra ancora una volta quanto la supply-chain digitale (provider di email, logistica, servizi di terze parti) resti uno dei punti più deboli della sicurezza complessiva nel mondo Bitcoin.