- Trezor confirma vazamento de dados de 13.689 clientes via parceiro logístico ShipMonk
- Brasil está entre os sete países afetados pela falha em dados de envio
- Empresa alerta para onda de phishing após exposição de nomes, e-mails e endereços
A fabricante de hardware wallets Trezor confirmou nesta quinta-feira um vazamento que atingiu 13.689 clientes em sete países, incluindo o Brasil. Compradores que fizeram pedidos nos 90 dias anteriores a 8 de agosto tiveram informações pessoais expostas após uma invasão nos sistemas da ShipMonk, parceira logística responsável pela entrega dos dispositivos.
O comunicado foi divulgado pela empresa em publicação no X. Segundo a Trezor, os dispositivos e a infraestrutura interna seguem intactos. O problema está na cadeia terceirizada: quem invadiu a ShipMonk conseguiu acesso ao banco de dados usado para preparar remessas.
De acordo com a fabricante, 11.742 clientes tiveram nome, e-mail, telefone e endereço de entrega vazados. Outros 1.947 perderam apenas nome, cidade e e-mail. Além do Brasil, foram afetados compradores dos Estados Unidos, Reino Unido, Suécia, Colômbia, Itália e Portugal.
Phishing vira o risco imediato para vítimas
A Trezor, sediada em Praga, alertou que a base vazada permite ataques altamente personalizados. “Golpistas podem usar as informações para enviar e-mails falsos, fazer ligações fraudulentas, mandar cartas físicas ou até se passar por bancos, corretoras cripto e pela própria Trezor”, afirmou a empresa. A SatoshiLabs, controladora da marca, disse que a investigação continua junto com a ShipMonk.
O risco prático é conhecido no setor. Nenhum criminoso consegue mover Bitcoin apenas com um endereço postal, mas endereço combinado com telefone e histórico de compra abre caminho para engenharia social sofisticada — inclusive envio de dispositivos falsos pelo correio, tática já registrada em incidentes anteriores da concorrência. Quem tiver comprado uma Trezor no período citado deve tratar qualquer contato “da empresa” com desconfiança até confirmar pelo canal oficial.
Ledger e Coldcard também sofreram nos últimos anos
O incidente reabre o histórico recente de falhas em fornecedores de hardware wallet. Em 2020, a Ledger teve mais de 1 milhão de e-mails e cerca de 10 mil registros de contato completos expostos após invasão em seu banco de marketing. No início deste ano, clientes da mesma fabricante voltaram a receber notificações após vazamento no parceiro de pagamento Global-e.
O caso mais grave, porém, é atual. A Coinkite, canadense responsável pela linha Coldcard, viu hackers drenarem US$ 111 milhões em Bitcoin a partir do fim de julho, com estimativas independentes apontando prejuízo superior a US$ 130 milhões. A comunidade Bitcoin ainda debate se o vetor foi firmware, cadeia de suprimentos ou vulnerabilidade em versões específicas do produto. Para efeito de comparação com o câmbio atual de R$ 5,1811, os US$ 111 milhões equivalem a cerca de R$ 575 milhões.
Compradores brasileiros dependem de terceiros para importar
No Brasil, a exposição pesa de forma específica. A Trezor não tem operação própria no país, e a maior parte dos usuários compra via revenda internacional ou marketplaces com envio direto do exterior. Isso significa que o endereço vazado é, muitas vezes, o mesmo cadastrado em corretoras como Mercado Bitcoin, Foxbit e Binance — ampliando o vetor de ataque. Um golpista com nome, cidade e e-mail consegue montar mensagem plausível fingindo ser suporte de exchange local, aproveitando que boa parte do público de hardware wallet também opera em plataformas centralizadas.
O timing também chama atenção. A notícia aparece dias depois de o Bradesco anunciar venda de Bitcoin, Ethereum e Solana pelo aplicativo do banco, movimento que tende a atrair investidores iniciantes para a custódia via exchange. Autocustódia via hardware wallet permanece como o modelo mais seguro, mas o episódio mostra que o elo fraco pode estar no fornecedor, não no dispositivo. Recompensas por falhas em carteiras não são novidade: a BTCPay ofereceu até 3 BTC após exploit no Lightning este ano.
A Trezor recomenda que os afetados troquem senhas de e-mail, ativem autenticação em dois fatores fora de SMS e ignorem qualquer solicitação para digitar a seed frase — pedido que a empresa jamais faz, nem por e-mail, nem por telefone.
