Trezor hackerato? Si può hackerare e come restare al sicuro

Teme che il Suo wallet Trezor sia stato hackerato? Parta da ciò che è documentato. Tutti gli attacchi noti che sono riusciti a estrarre la frase di recupero da un Trezor richiedevano di avere in mano il dispositivo, attrezzature da laboratorio e tempo. Le perdite avvenute senza questo accesso fisico hanno un’altra origine: una truffa con cui qualcuno si è procurato la frase di recupero, una transazione dannosa approvata da Lei oppure una credenziale persa. A volte non si è perso proprio nulla e le criptovalute sono ancora sulla blockchain, in un wallet che non sta consultando.

La risposta onesta alla domanda «si può hackerare un Trezor?» è quindi più complessa di un semplice no. Questa guida distingue tra miti e realtà: se un wallet Trezor può essere hackerato, quali sono gli hack di Trezor reali e documentati, che cosa mette davvero a rischio le Sue cripto e che cosa fare se teme che il Suo wallet Trezor sia stato hackerato.

Un wallet Trezor può essere hackerato? La risposta onesta

Non esiste alcun caso documentato pubblicamente in cui qualcuno abbia hackerato un Trezor da remoto, via Internet, per prosciugarne i fondi. Le Sue chiavi private vengono generate e memorizzate sul dispositivo e non lo lasciano mai, quindi non c’è una «porta» online attraverso cui un attaccante possa entrare da lontano.

Un attacco da remoto e un attacco da parte di qualcuno che ha in mano il dispositivo sono però due questioni diverse. Con il dispositivo fisico in mano, attrezzature specializzate e tempo, gruppi di ricerca sulla sicurezza hanno estratto in laboratorio la frase di recupero da modelli Trezor più vecchi. È una minaccia molto diversa da quella di un hacker dall’altra parte del mondo.

La risposta corretta, quindi, è questa: un Trezor è estremamente sicuro contro gli attacchi remoti, vulnerabile ad attacchi fisici sofisticati sui modelli più vecchi se qualcuno ruba il dispositivo e, come ogni wallet, sicuro solo quanto la persona che lo usa.

Trezor è mai stato hackerato? I casi documentati

Sì, Trezor è stato «hackerato», ma in laboratorio. Di seguito i casi più noti. Ognuno ha richiesto il dispositivo fisico, e nessuno è stato un attacco da remoto.

L’attacco di variazione di tensione di Kraken Security Labs (2020)

Nel 2020 Kraken Security Labs ha dimostrato che era possibile aprire un Trezor One o un Trezor Model T e, con una tecnica chiamata variazione di tensione (voltage glitching), abbassare il livello della sua protezione in lettura, così da estrarre dal chip la frase di recupero cifrata. Secondo Kraken servivano circa 15 minuti di accesso fisico. Dopo l’estrazione dei dati cifrati, un PIN corto poteva poi essere individuato con un attacco di brute force.

Proprio perché richiede l’accesso fisico, un attaccante remoto non può sfruttarlo. Kraken raccomandava come contromisura di attivare una passphrase BIP-39, perché la passphrase non viene mai memorizzata sul dispositivo e questo attacco non può recuperarla. La debolezza derivava dal chip generico utilizzato, non dal software di Trezor.

L’hack fisico di Unciphered (2023)

Nel 2023 la società di sicurezza Unciphered ha mostrato, in un video realizzato con un dispositivo fornito da CoinDesk, di poter estrarre la frase di recupero e il PIN da un Trezor Model T che aveva fisicamente in suo possesso. Ha sfruttato una vulnerabilità non correggibile del chip STM32, lo stesso tipo di debolezza di «declassamento RDP» segnalato anni prima.

L’attacco funziona solo con il dispositivo in possesso fisico dell’attaccante, la vulnerabilità non può essere corretta sulle unità già spedite perché il difetto è nel chip stesso, e Trezor ha osservato che una passphrase robusta rende l’attacco inutile.

La vulnerabilità del chip TROPIC01 (2026)

Nel giugno 2026 Trezor e il produttore di chip Tropic Square hanno reso noto che Donjon, il team di ricerca di Ledger, aveva trovato una falla nell’elemento sicuro TROPIC01 usato nel Trezor Safe 7, con un attacco laser a iniezione di guasti. Per riuscirci è stato necessario smontare il dispositivo, decapsulare il chip e usare costose attrezzature da laboratorio. L’attacco ha esposto segreti che il chip usa per la verifica di autenticità del dispositivo e per una parte della protezione del PIN, ma non il wallet: secondo Trezor, le chiavi private e il backup del wallet non sono memorizzati nel TROPIC01, e la falla non può dare a un attaccante accesso al PIN, ai fondi o al backup del wallet. Il Safe 7 ha un secondo elemento sicuro, quindi violare un solo chip non basta.

Che cosa significano questi hack di Trezor, e che cosa no

Se ha un Trezor più vecchio, lo tiene sotto il Suo controllo e usa una passphrase, questi titoli su un «Trezor hackerato» non sono una minaccia realistica per Lei: descrivono team di esperti con attrezzature da laboratorio e hardware rubato, non qualcuno che hackera il Suo wallet mentre è chiuso in un cassetto. La nuova famiglia Safe di Trezor (Safe 3, Safe 5 e Safe 7) ha introdotto un elemento sicuro con certificazione Common Criteria EAL6+ proprio per resistere a questo tipo di attacco fisico; il Safe 7 aggiunge il TROPIC01 come secondo elemento sicuro. Trezor elenca sulla sua pagina dedicata alla sicurezza le vulnerabilità che ha corretto, oltre al suo programma di bug bounty.

Come si perdono davvero le cripto: phishing e truffe

Phishing e truffe agiscono sulla persona anziché sul dispositivo: inducono chi possiede il wallet a consegnare la frase di recupero o ad approvare una transazione dannosa. Gli attaccanti non hanno la meglio sull’hardware, ma sulla persona.

Queste campagne sfruttano spesso il marchio e i canali di Trezor per sembrare legittime. Nel 2022 alcuni attaccanti hanno usato indirizzi email di clienti, rubati a un fornitore esterno di newsletter, per inviare email false di Trezor molto convincenti. Nel 2025 alcuni criminali hanno abusato del modulo di contatto pubblico dell’assistenza Trezor in modo che le risposte automatiche partissero dal vero indirizzo help@trezor.io, dando ai loro messaggi di phishing un’aria di autenticità. Nel settembre 2026 un attaccante che era penetrato nei sistemi di Brevo, il fornitore di servizi email di Trezor, ha inviato alla lista della newsletter di Trezor una falsa email intitolata «Critical Security Alert: STM32 Entropy Vulnerability», con un link a un’app che chiedeva il backup del wallet. Trezor afferma che nessun prodotto, wallet o sistema di account di Trezor è stato coinvolto e che chi ha inserito il backup del wallet deve trasferire subito i fondi in un nuovo wallet.

In tutti questi casi, né i sistemi di Trezor né i dispositivi sono stati violati, e nessuna frase di recupero è stata estratta tramite Trezor. L’obiettivo era semplicemente attirare le vittime su un sito o un’app falsi che chiedevano loro di digitare la frase di recupero. La nostra guida alle truffe Trezor e ai dispositivi falsi illustra altri trucchi di questo tipo.

Nessun servizio legittimo, Trezor compreso, Le chiederà mai di inserire la Sua frase di recupero su un sito web. Se una pagina o un’email la chiede, è una truffa.

Come Trezor protegge davvero le Sue cripto

È utile sapere che cosa si frappone tra un attaccante e i Suoi fondi, perché sono proprio questi livelli di protezione a rendere irrealistico un attacco da remoto.

Il PIN protegge l’accesso tramite il dispositivo. A ogni PIN errato il dispositivo La fa attendere più a lungo prima del tentativo successivo, e dopo 16 tentativi errati (10 sul Safe 7) cancella i dati del wallet. Ciò non esclude attacchi fisici specializzati sui modelli più vecchi: nelle ricerche descritte sopra, PIN brevi sono stati individuati dopo l’estrazione di dati cifrati. Se dimentica il PIN del Suo Trezor, verifichi il backup prima di prendere in considerazione una reimpostazione: il wallet si ripristina dal backup, senza «forzare» nulla. La passphrase, spesso chiamata la 25ª parola, crea un wallet nascosto che non è affatto memorizzato sul dispositivo, ed è proprio per questo che rende inefficaci gli attacchi descritti sopra, che estraggono la frase di recupero. Se ha perso la passphrase del Suo Trezor, è quel wallet nascosto a contenere i Suoi fondi. Sui modelli Safe più recenti, un elemento sicuro EAL6+ aggiunge una resistenza a livello hardware contro la manomissione fisica. Shamir Backup (SLIP-39), disponibile sui modelli Safe e sul Model T, Le permette di dividere il backup del wallet in più parti, e una singola parte rubata non basta mai a ripristinare il wallet.

Segnali che il Suo Trezor o wallet potrebbe essere compromesso

Il sospetto di un hack può avere una causa innocua, come un wallet nascosto vuoto o un percorso di derivazione diverso da quello atteso. Consideri invece veri campanelli d’allarme i seguenti segnali: transazioni in uscita dai Suoi account che non ha autorizzato, una passphrase o un PIN che smette improvvisamente di funzionare dopo aver sempre funzionato, un’email o un sito che Le ha chiesto di inserire la frase di recupero, e Lei l’ha inserita, oppure un dispositivo arrivato con una scheda della frase di recupero già compilata o con istruzioni di «attivazione» (una classica truffa della catena di fornitura, perché un Trezor autentico genera sempre la frase di recupero durante la Sua configurazione iniziale).

Se vede solo un saldo a zero ma non ha mai condiviso la frase di recupero, la causa è molto più probabilmente una passphrase mancante o un tipo di account sbagliato che un hack. La nostra guida su una frase di recupero Trezor persa o non valida tratta questi casi.

Che cosa fare se teme che il Suo Trezor sia stato hackerato

Agisca con calma e in ordine.

• Se ha ancora il controllo di un dispositivo sicuro e della frase di recupero, metta prima al sicuro i Suoi fondi. Configuri un wallet completamente nuovo su un dispositivo di fiducia, idealmente con una nuova frase di recupero e una passphrase, e vi trasferisca subito tutto. La nostra guida al recupero del wallet Trezor illustra il processo di ripristino, e la guida su come recuperare un wallet Trezor senza il dispositivo tratta il caso di un dispositivo perso o rubato.
• Non inserisca mai la Sua frase di recupero in un sito web, nemmeno se sembra quello di Trezor. Usi solo il dispositivo e l’app ufficiale Trezor Suite.
• Smetta di interagire con l’email o il sito sospetti e con il presunto «supporto». Non paghi nessuno che prometta di annullare una transazione.
• Se Le sono state sottratte delle criptovalute, conservi gli ID delle transazioni e gli indirizzi e denunci il furto alla polizia. Negli Stati Uniti la segnalazione va fatta all’Internet Crime Complaint Center dell’FBI, su ic3.gov.
• Se il Suo problema è la perdita di accesso e non un furto (una passphrase smarrita o una scheda della frase di recupero danneggiata o incompleta), si tratta di un problema diverso da un hack, ed è proprio quello su cui lavoriamo.

Una transazione confermata sulla blockchain non può essere annullata. In caso di furto possono intervenire solo le autorità o l’exchange destinatario, senza garanzie di risultato. Diffidi delle promesse di recupero garantito. Crypto Recovers La aiuta a recuperare l’accesso al Suo wallet; non recuperiamo fondi rubati.

Come può aiutarLa Crypto Recovers

Se ha perso l’accesso al Suo Trezor perché la frase di recupero è parziale o non valida, o perché ha dimenticato la passphrase, è la nostra specialità, anche se in più ha perso il PIN. Un PIN dimenticato da solo non possiamo recuperarlo; con una frase di recupero completa, il wallet si ripristina direttamente da quella. La prima valutazione è gratuita e non richiede alcun segreto del wallet, e lavoriamo secondo il principio «no cure, no pay». Se un caso non è recuperabile, lo diciamo chiaramente. Le Sue cripto, inoltre, non passano mai per le nostre mani: se l’accesso viene ripristinato, è Lei a trasferirle in un nuovo wallet creato da Lei e a pagare personalmente il compenso concordato, con un pagamento separato.

Se teme una possibile compromissione e vuole un secondo parere prima di agire, ci contatti oppure inizi dal nostro servizio di recupero Trezor.

Domande frequenti: Trezor hackerato

Un Trezor può essere hackerato da remoto?

No. Non esiste alcun caso documentato pubblicamente di un Trezor hackerato da remoto per rubare fondi. Le Sue chiavi private non lasciano mai il dispositivo, quindi un attaccante remoto non ha alcuna via di accesso online. Le perdite da remoto derivano dal phishing, non dalla violazione del dispositivo.

Trezor è mai stato hackerato?

In laboratorio, sì. Sia Kraken Security Labs (2020) sia Unciphered (2023) hanno estratto la frase di recupero da dispositivi Trezor che avevano fisicamente in mano, sfruttando una vulnerabilità a livello di chip sui modelli più vecchi. Entrambi gli attacchi richiedono il dispositivo fisico e vengono neutralizzati da una passphrase. Nel 2026, inoltre, un gruppo di ricerca ha trovato in laboratorio, usando un laser, una falla in uno dei due elementi sicuri del Trezor Safe 7; secondo Trezor, questa falla non può esporre il PIN, i fondi o il backup del wallet.

Un Trezor può essere hackerato se qualcuno ruba il dispositivo?

Sui modelli più vecchi senza elemento sicuro (Model One e Model T), un attaccante altamente qualificato con attrezzature da laboratorio potrebbe estrarre la frase di recupero. Per questo una passphrase conta così tanto: non è memorizzata sul dispositivo e blocca quegli attacchi. I modelli Trezor Safe più recenti aggiungono un elemento sicuro che resiste all’estrazione fisica. In ogni caso, ripristini il wallet dal backup su un nuovo dispositivo e trasferisca i fondi in un nuovo wallet con un nuovo backup.

Un Trezor è ancora sicuro da usare?

Sì. Gli attacchi documentati richiedono di avere in mano il dispositivo e attrezzature da laboratorio, quindi il rischio pratico è il phishing, non l’hardware. Usi una passphrase, tenga il dispositivo sotto il Suo controllo e non inserisca mai la Sua frase di recupero in un sito web.

L’email sulla «STM32 Entropy Vulnerability» arriva davvero da Trezor?

No. L’email «Critical Security Alert: STM32 Entropy Vulnerability» del settembre 2026 era un tentativo di phishing ed è stata inviata tramite i sistemi violati di Brevo, il fornitore di servizi email di Trezor. Secondo Trezor, nessun prodotto, wallet o sistema di account di Trezor è stato coinvolto. Se ha cliccato sul link ma non ha inserito nulla, secondo Trezor non serve alcun intervento. Se ha inserito il backup del wallet, trasferisca subito i Suoi fondi in un nuovo wallet con un nuovo backup.

Le cripto rubate da un Trezor hackerato si possono recuperare?

Una transazione confermata non può essere annullata. In caso di furto possono intervenire solo le autorità o l’exchange destinatario, e la restituzione non è mai garantita. Crypto Recovers si occupa della perdita di accesso al Suo wallet, per esempio a causa di una frase di recupero incompleta o di una passphrase dimenticata; non recuperiamo fondi rubati.