Trezor e BitBox avvertono: attenzione ai falsi avvisi di sicurezza sui wallet hardware

Se c'è una cosa che ho imparato negli ultimi anni sulle criptovalute, è questa: il problema di solito non è il wallet hardware, ma la persona davanti. Ed è proprio su questo che i criminali stanno tornando a puntare con forza. Trezor e BitBox (Shift Crypto) lanciano l'allarme, e non senza motivo.
Il trucco è collaudato, ma evidentemente pericolosissimo: ricevete un'e-mail che sembra arrivare direttamente da Trezor o BitBox. Tono urgente, chiara richiesta di agire. A quanto pare c'è stato un incidente di sicurezza, il firmware è compromesso, oppure l'account deve essere verificato immediatamente. Cliccando sul link, si finisce su una pagina ingannevolmente autentica che chiede la recovery phrase – le 12 o 24 parole con cui si possono recuperare le proprie monete. Chi le inserisce, di norma perde il proprio denaro all'istante.
Quello che BitBox ha scoperto rende la faccenda sgradevole: a quanto pare diverse aziende Bitcoin sono finite nel mirino attraverso lo stesso fornitore di servizi newsletter. In altre parole, probabilmente non sono stati violati i wallet stessi, ma i canali e-mail dei fornitori. Trezor ha nel frattempo ammesso che c'è stato un accesso non autorizzato al suo servizio e-mail. Gli attaccanti potrebbero così essere entrati in possesso di indirizzi reali dei clienti – e ora inviano e-mail di phishing ancora p



iù convincenti.
Entrambi i produttori lo dicono chiaramente, e io non posso che ripeterlo: nessun fornitore serio chiede mai via e-mail, telefono o chat la vostra recovery phrase. Mai. Queste parole sono l'unica chiave per le vostre monete. Chi le inserisce in formato digitale – ovunque sia – rischia tutto. Se arriva un messaggio del genere: cancellatelo, non cliccate. In caso di dubbio, aprite direttamente il sito ufficiale nel browser e informatevi lì.
Per i possessori di wallet è un ulteriore campanello d'allarme. I dispositivi in sé sono sicuri, le chiavi private non lasciano mai l'hardware. Ma l'essere umano resta il punto debole. Il phishing non prende di mira la crittografia, ma la disattenzione. Chi conserva la propria recovery phrase offline – su carta o metallo – e non la digita mai in un browser, in un'app o in un modulo e-mail, è in gran parte protetto da questo trucco.
Il settore sta reagendo: comunicazioni crittografate, avvisi nelle app, autenticazione a due fattori dove possibile. Eppure il caso attuale dimostra che il phishing resta una delle maggiori minacce – finché i criminali riescono a ottenere grandi quantità di indirizzi dei clienti con mezzi semplici. Quindi: non proteggete solo il wallet, ma anche l'account e-mail. E di fronte a inavvertiti avvisi di sicurezza, siate sempre diffidenti in primo luogo.