Truffe Trezor e dispositivi Trezor falsi: come riconoscerli

Ha ricevuto un’email che dice di provenire da Trezor, o un dispositivo che non La convince, e con ogni probabilità dietro c’è un truffatore. Chi possiede un Trezor è bersaglio di email convincenti, siti web falsi e dispositivi contraffatti, e quasi tutte queste truffe hanno lo stesso obiettivo: indurLa con l’inganno a rivelare la Sua frase di recupero, perché chi ne entra in possesso controlla i Suoi fondi.

Questa guida passa in rassegna le truffe Trezor più comuni, tra cui le false email su violazioni dei dati, il phishing basato su un presunto «authentication check» e l’hardware contraffatto, perché Lei possa riconoscere i segnali d’allarme e tenere al sicuro le Sue cripto.

Perché chi usa un Trezor è un bersaglio

Un hardware wallet conserva le Sue chiavi private offline, limitandone l’esposizione al malware presente sul computer. Questo non rende ogni dispositivo immune agli attacchi fisici: il rischio dipende dal modello, dal firmware e dalle impostazioni di sicurezza, come spieghiamo nel nostro articolo sulla possibilità di hackerare un Trezor.

Il phishing fa leva sulla Sua fiducia. Se i truffatori riescono a convincerLa a digitare in un sito web la Sua frase di recupero da 12, 20 o 24 parole, che Trezor ora chiama «back-up del wallet», o a comprare un dispositivo che hanno già manomesso, non devono hackerare nulla: è Lei a consegnare loro le chiavi. Una volta capito che il vero bersaglio è sempre la frase di recupero, quasi tutte le truffe Trezor diventano facili da individuare.

Email truffa a nome di Trezor: false violazioni dei dati e messaggi di «authentication check»

La truffa Trezor più comune arriva nella Sua casella di posta. Queste email sono progettate per creare panico e urgenza, così da spingerLa ad agire prima di riflettere.

Un esempio molto citato è la falsa email su una violazione dei dati. Le vittime hanno ricevuto un messaggio secondo cui Trezor aveva subito un incidente di sicurezza che riguardava un numero preciso di clienti, con l’invito pressante a scaricare l’«ultima versione di Trezor Suite» e a impostare un nuovo PIN. Il link di download portava a un sito falso identico a quello autentico, talvolta con trucchi Punycode che facevano sembrare l’indirizzo suite.trezor.com quando in realtà si trattava di un altro dominio, camuffato. Chiunque collegasse il proprio wallet e inserisse la frase di recupero la consegnava direttamente agli attaccanti. In alcuni casi i truffatori hanno perfino sfruttato il modulo di contatto di Trezor per rendere i messaggi più credibili.

Molto simile è lo schema dell’«authentication check» o della «wallet verification», presentato come una verifica di autenticazione o del wallet. Qui l’email o la finestra pop-up afferma che il Suo wallet deve completare con urgenza un controllo di sicurezza, un’autenticazione o una validazione, altrimenti verrà bloccato o perderà l’accesso. Il presunto controllo finisce sempre allo stesso modo: Le chiede di inserire o confermare la Sua frase di recupero. Nessun vero processo di autenticazione richiede mai la Sua frase di recupero.

Esiste perfino una versione offline. I truffatori hanno inviato per posta alla clientela di Trezor lettere dall’aspetto ufficiale, che chiedevano di scansionare un codice QR e di «riconvalidare» il wallet inserendo la frase di recupero. Il canale cambia, il trucco no.

Come riconoscere un’email truffa a nome di Trezor:

• L’unico sito ufficiale di Trezor è trezor.io. Non è trezor.com, né alcun sito dal nome simile con caratteri o trattini in più.
• Trezor non Le invierà mai email, messaggi o lettere per chiederLe la frase di recupero, il PIN o la passphrase. Mai. Nelle sue indicazioni contro le truffe, Trezor raccomanda di considerare phishing qualsiasi messaggio che affermi di provenire da Trezor via SMS, WhatsApp, Telegram, telefonata o lettera cartacea.
• Le notizie autentiche su violazioni o sicurezza vengono pubblicate su trezor.io, quindi digiti l’indirizzo a mano invece di cliccare un link contenuto in un’email.
• È l’urgenza a tradire la truffa. «Act now or lose access» (agire subito o perdere l’accesso) è pressione, non una procedura.

Dispositivi Trezor falsi: hardware contraffatto e manomesso

Alcune truffe Trezor colpiscono l’hardware stesso, prima ancora che arrivi nelle Sue mani. Nel 2023 un gruppo di ricerca sulla sicurezza di Kaspersky ha analizzato un Trezor Model T contraffatto che dall’esterno sembrava autentico, sigilli olografici inclusi, ma che all’interno era stato modificato per rubare fondi.

Invece della saldatura a ultrasuoni usata sui dispositivi autentici, il falso era tenuto insieme con colla e nastro adesivo. Il microcontrollore era stato sostituito con uno in cui la protezione in lettura era disattivata. La cosa più grave: il firmware non generava una frase di recupero nuova e casuale. Usava di nascosto una tra poche frasi generate in anticipo che gli attaccanti conoscevano già. I fondi della vittima potevano quindi essere sottratti anche se il dispositivo non era mai stato usato online, perché i criminali avevano le chiavi fin dal primo momento.

Campanelli d’allarme di un Trezor falso o manomesso:

• Il dispositivo arriva con una frase di recupero già scritta, o con una scheda che Le dice di usare una frase o un PIN specifici. Un Trezor autentico genera sempre una frase di recupero completamente nuova, che vede solo Lei, durante la configurazione che esegue di persona.
• Un imballaggio che sembra richiuso, incollato o danneggiato, o sigilli olografici che non convincono.
• Istruzioni di configurazione che saltano la procedura ufficiale di trezor.io/start o che La indirizzano verso un’altra app o un altro sito.
• Avvisi sull’autenticità del firmware durante la configurazione, che non deve mai ignorare.

Come acquistare un Trezor in sicurezza:

• Acquisti solo dal negozio ufficiale di Trezor o da un rivenditore autorizzato elencato su trezor.io. Eviti marketplace, siti d’asta e «offerte» di terzi.
• Configuri personalmente il dispositivo, da zero, seguendo trezor.io/start.
• Si assicuri che il dispositivo generi la frase di recupero davanti a Lei e che sia Lei a trascriverla.

Altre truffe Trezor da conoscere

Oltre alle email e ai dispositivi falsi, ci sono altri schemi che si ripetono di continuo:

• Supporto falso. I truffatori si spacciano per il «supporto Trezor» sui social media, nelle finestre di chat o al telefono, e poi chiedono la Sua frase di recupero per «risolvere» un problema. Il vero supporto non ne ha mai bisogno. Trezor avverte che i truffatori usano ormai l’IA per imitare il supporto via testo, voce e video, quindi un messaggio dall’aspetto professionale non prova nulla. Se il Suo dispositivo è bloccato perché ha dimenticato il PIN, la soluzione è la Sua frase di recupero, non l’aiuto del supporto per usarla.
• App di wallet false. App dannose negli store o estensioni del browser imitano Trezor Suite e catturano tutto ciò che digita. Usi solo software a cui rimanda trezor.io e scarichi Trezor Suite da trezor.io/trezor-suite.
• Giveaway e airdrop. «Send 0.1 BTC to receive 0.2 back» (la promessa di restituirLe il doppio di quanto invia), o un airdrop di token che Le chiede di collegare il wallet e rivelare la frase di recupero. In entrambi i casi è un furto.
• Servizi di recupero falsi. Alcuni truffatori si spacciano per società di recupero di criptovalute e chiedono la Sua frase di recupero o un consistente pagamento anticipato. Un servizio legittimo non Le chiede mai di inviare la frase di recupero tramite modulo, chat o email e non promette mai risultati; la nostra guida per trovare un’azienda di recupero legittima indica che cosa controllare.

Le regole d’oro per evitare le truffe Trezor

Quasi tutte le truffe Trezor falliscono davanti a una breve lista di controllo:

• Mantenga segreta la Sua frase di recupero. Se deve ripristinare un wallet, segua la procedura ufficiale del Suo modello e verifichi le istruzioni sul dispositivo stesso. Non comunichi mai la frase al supporto e non la inserisca mai in un sito di verifica.
• Si fidi solo di trezor.io. Digiti l’indirizzo personalmente e acquisti l’hardware solo dai canali ufficiali.
• Un dispositivo nuovo e autentico non arriva mai con una frase di recupero o un PIN già impostati.
• Trezor non La contatta mai per chiederLe la frase di recupero, il PIN o la passphrase.
• Non abbia fretta. Le truffe fanno leva sull’urgenza: sentirsi dire che si deve agire subito è un motivo per fermarsi, non per affrettarsi.

Per un quadro più ampio delle buone abitudini di recupero, la nostra guida al recupero del wallet Trezor applica le stesse regole di sicurezza al ripristino di un wallet.

Teme di essere vittima di una truffa? Che cosa fare ora

Se ha appena capito che qualcosa non va, agisca rapidamente ma con cautela.

Se ha inserito la Sua frase di recupero su un sito o un dispositivo sospetto e ha ancora accesso, consideri il wallet compromesso e sposti subito i Suoi fondi. Configuri un nuovo wallet su un dispositivo autentico con una frase di recupero completamente nuova e trasferisca tutto prima che lo faccia l’attaccante. Se ha solo cliccato un link senza inserire la frase di recupero, il rischio è molto minore, ma d’ora in poi verifichi tutto tramite trezor.io.

Se un truffatore ha trasferito i Suoi fondi, nessun servizio di recupero, nemmeno il nostro, può annullare la transazione blockchain confermata. Possono intervenire solo le autorità o l’exchange destinatario, e anche in quel caso l’esito resta incerto. Diffidi di chiunque prometta di annullare un furto o di restituire fondi rubati dietro pagamento: spesso è una seconda truffa, rivolta a persone che ne sono appena state vittime.

Denunci il furto alla polizia e segnali il tentativo di phishing a Trezor tramite i canali di assistenza ufficiali, così che l’azienda possa avvisare altre persone. Conservi le prove: ID delle transazioni, indirizzi dei wallet, screenshot e i messaggi truffa stessi.

Il nostro servizio di recupero riguarda un problema diverso: recuperare l’accesso al Suo wallet quando ha perso una parola della frase di recupero o ha dimenticato la passphrase. Se questa è la Sua situazione, può ottenere una valutazione onesta tramite il nostro servizio di recupero Trezor, e Le diremo in anticipo che cosa è possibile e che cosa no. In nessun momento custodiamo le Sue cripto: se l’accesso viene ripristinato, è Lei a trasferire i fondi in un nuovo wallet creato da Lei e a pagare personalmente, a parte, il compenso concordato.

Le tattiche dei truffatori cambiano di continuo, quindi in caso di dubbio si fermi e verifichi direttamente su trezor.io prima di fare qualsiasi cosa con il Suo wallet.

Domande frequenti sulle truffe Trezor

Trezor invia email su una violazione dei dati in cui chiede di eseguire un aggiornamento?

Usi la massima cautela. I truffatori hanno inviato false email su violazioni dei dati che invitavano ad «aggiornare» o a impostare un nuovo PIN tramite un sito contraffatto. Trezor pubblica le notizie di sicurezza reali su trezor.io e non chiede mai la Sua frase di recupero. Se riceve un’email del genere, non clicchi nulla e verifichi direttamente su trezor.io.

L’email «Trezor authentication check» è autentica?

No. Qualsiasi email, pop-up o lettera che Le chieda di completare un «authentication check», una verifica o una validazione inserendo la Sua frase di recupero è phishing.

Come faccio a sapere se il mio Trezor è autentico?

Compri solo da trezor.io o da un rivenditore autorizzato, verifichi che imballaggio e sigilli siano intatti e configuri il dispositivo di persona tramite trezor.io/start. Un dispositivo autentico genera una nuova frase di recupero davanti a Lei. Se arriva con una frase di recupero o un PIN già impostati, è falso: non lo usi.

Trezor ha chiesto la mia frase di recupero. È normale?

Una richiesta non sollecitata tramite email, messaggio o un presunto «supporto» è una truffa. È diverso se avvia Lei il ripristino: sul Model One, il «Recupero standard» di un backup da 24 parole avviene tramite l’app ufficiale Trezor Suite. Dopo la conferma sul dispositivo, inserisca le parole in Suite nell’ordine indicato dal dispositivo. Il «Recupero avanzato» evita di digitare le parole sul computer. Segua le istruzioni ufficiali di Trezor per il recupero sul Model One; non inserisca mai la frase tramite un link ricevuto in un messaggio.

Le cripto rubate in una truffa Trezor si possono recuperare?

Di solito no. Una transazione blockchain confermata non può essere annullata: una volta che un truffatore ha spostato i Suoi fondi, questi sfuggono al Suo controllo. Possono intervenire solo le autorità o l’exchange destinatario, e anche in quel caso l’esito resta incerto. Chi promette di recuperare criptovalute rubate in cambio di un pagamento anticipato sta quasi certamente organizzando un’altra truffa. I servizi di recupero come il nostro possono solo aiutarLa a recuperare l’accesso al Suo wallet, non annullare un furto. Denunci il furto o la frode alla polizia e conservi gli ID delle transazioni, gli indirizzi dei wallet, gli screenshot e la documentazione correlata.