Trezor admite vazamento de dados de 13 mil clientes e alerta para riscos de golpes direcionados
A Trezor, fabricante de carteiras físicas para criptomoedas, confirmou que uma falha de segurança em sua parceira de logística, a ShipMonk, resultou na exposição de informações pessoais de mais de 13 mil consumidores ao redor do mundo. Entre os afetados, há usuários brasileiros que adquiriram dispositivos da marca em diferentes períodos.
De acordo com a empresa, o incidente envolveu dados como nome completo, endereços residenciais, telefones e e-mails de clientes que compraram carteiras de hardware. Inicialmente, as investigações indicavam que o problema estaria restrito a pedidos realizados nos últimos 90 dias e em um conjunto limitado de países. Com o avanço da apuração, porém, ficou claro que a violação pode ter atingido também compras mais antigas.
No total, 11.742 clientes de Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal tiveram suas informações mais sensíveis expostas: nomes, endereços de e-mail, números de telefone e endereços de entrega. Esse grupo corresponde a compras feitas entre 10 de maio e 8 de agosto, segundo a Trezor. Esse conjunto de dados é considerado particularmente valioso para criminosos que desejam montar ataques de engenharia social altamente personalizados.
Além desse grupo, outros 1.947 clientes tiveram, ao menos, seus nomes, cidades de residência e e-mails comprometidos. Parte dessas compras pode ter ocorrido antes de 10 de maio, o que indica que a janela de exposição pode ser maior do que a inicialmente estimada. A Trezor afirma que ainda está refinando a linha do tempo do incidente em conjunto com a ShipMonk para determinar com exatidão quando começou a coleta indevida ou o acesso não autorizado aos dados.
A ShipMonk é a empresa responsável pelo armazenamento e pela logística de envio dos produtos da Trezor. Para desempenhar esse papel, ela recebe os dados necessários para processar pedidos, como endereço de entrega e contato do comprador. Segundo a Trezor, a parceira está vinculada a uma política de retenção de 90 dias, que determina a exclusão ou anonimização das informações após esse período. O vazamento, portanto, também levanta dúvidas sobre o cumprimento prático dessas diretrizes e sobre os mecanismos de proteção adotados pela prestadora de serviços.
A fabricante fez questão de ressaltar que seus servidores, sistemas internos e dispositivos de hardware não foram comprometidos. Ou seja, não há indícios de que as chaves privadas, senhas, seed phrases ou quaisquer credenciais de acesso às criptomoedas tenham sido atingidas. O problema, neste caso, está concentrado na camada de dados pessoais associados às compras físicas, e não na infraestrutura das carteiras em si.
Apesar disso, o cenário não é menos preocupante. O principal risco imediato apontado pela Trezor é a intensificação de campanhas de phishing e outros golpes de engenharia social. De posse de dados como nome, telefone, e-mail, endereço e histórico de compra de uma carteira de criptomoedas, fraudadores podem criar mensagens muito mais convincentes, fingindo ser a própria Trezor, uma exchange, um banco ou até um suporte técnico especializado em criptoativos.
Esse tipo de ataque costuma se materializar por meio de e-mails, SMS, ligações telefônicas, mensagens em aplicativos ou até anúncios falsos. Criminosos podem, por exemplo, enviar comunicados se passando pela Trezor, alegando que a carteira foi comprometida e orientando o usuário a “reimportar” a seed em um site fraudulento. Ao inserir o backup da carteira nesses ambientes, o usuário entrega o controle total de seus fundos aos golpistas. Por isso, a empresa reforça que nunca solicita a seed phrase ou o backup completo da carteira por e-mail, telefone ou páginas não oficiais.
Outro ponto sensível é o vazamento de endereços residenciais. Em um setor em que os ativos têm alto valor e são, em muitos casos, irreversíveis e anônimos, a associação entre identidade, localização física e posse de criptomoedas cria um vetor de ameaça que extrapola o meio digital. Já foram registrados casos em países como França e Estados Unidos em que proprietários de grandes quantias em criptoativos foram alvo de invasões, roubos e até sequestros para forçar a transferência de fundos.
Uma base de dados que conecta nomes, contatos e endereços a compradores de hardware wallets pode, portanto, se tornar um ativo cobiçado para grupos criminosos interessados em ataques físicos, especialmente quando presumem que parte dessas pessoas tem valores significativos em criptomoedas armazenados de forma autônoma. Mesmo que nem todos os clientes possuam grandes quantias, o simples fato de terem adquirido uma carteira de hardware pode aumentar a percepção de risco.
Diante da gravidade do episódio, a Trezor afirma ter contatado diretamente os clientes impactados, orientando-os a tratar com cautela qualquer mensagem recebida em nome da empresa. A recomendação é sempre confrontar o conteúdo das comunicações com informações presentes em canais oficiais, checar remetentes e evitar clicar em links ou abrir anexos suspeitos. A empresa também volta a insistir em uma regra fundamental: nunca digitar o backup da carteira em sites, aplicativos ou dispositivos que não sejam o próprio hardware wallet ou o software autorizado.
Segundo a companhia, desde sua fundação, em 2013, esta é a primeira vez que números de telefone e endereços físicos de clientes são expostos em um incidente de segurança. A Trezor reconheceu publicamente a seriedade dos riscos associados a esse tipo de vazamento, pediu desculpas às pessoas afetadas e afirmou que está revisando processos com parceiros para apertar ainda mais os controles sobre dados pessoais.
Como resposta estrutural ao problema, a fabricante anunciou que está acelerando o desenvolvimento de um recurso chamado “Anonymous Delivery” (Entrega Anônima). A proposta é reduzir de forma drástica o volume de informações de identificação pessoal ligadas à compra de uma carteira de hardware, minimizando o potencial de danos em casos de falhas de segurança futuras – próprias ou de parceiros.
No modelo planejado, o cliente não precisará vincular diretamente seu nome real e endereço residencial ao pedido. Em vez disso, poderá utilizar um apelido ou identificador alternativo para concluir a compra. A entrega, por sua vez, será feita em armários automatizados ou pontos de retirada, em vez de chegar diretamente à residência do comprador. Dessa forma, endereço de casa e nome completo deixam de ser obrigatórios para o envio.
Outro detalhe relevante é que as embalagens serão discretas: os pacotes não trarão a marca Trezor estampada de forma aparente, nem qualquer indicação clara de que se trata de uma carteira de criptomoedas. A identificação do remetente será genérica, com o objetivo de não despertar a atenção de terceiros, sejam vizinhos, funcionários de condomínio ou possíveis criminosos atentos ao conteúdo de entregas.
No contato com o cliente, a transportadora utilizará apenas o mínimo de informação necessário, como e-mail ou SMS, para compartilhar o PIN ou o código de retirada da encomenda nos armários automatizados. Isso reduz a exposição a terceiros e torna o processo menos rastreável para quem tenta mapear alvos com base no tipo de produto recebido em determinado endereço.
A Trezor prevê disponibilizar o Anonymous Delivery primeiramente na União Europeia, com lançamento estimado para setembro, e expandir o recurso para os Estados Unidos até o final de 2026. Embora não haja uma data definida para outros mercados, como o Brasil, o movimento indica uma tendência clara: fabricantes de hardware wallets tendem a investir cada vez mais em mecanismos que separem identidade civil de aquisição de dispositivos de segurança.
Para usuários brasileiros, o episódio serve como alerta duplo. De um lado, mostra que mesmo empresas reconhecidas no setor de criptomoedas dependem de terceiros para logística, o que amplia a superfície de ataque. De outro, reforça a importância de uma postura ativa em relação à proteção de dados pessoais: acompanhar notícias sobre incidentes, revisar periodicamente senhas e adotar camadas adicionais de segurança em contas de e-mail e serviços vinculados às suas atividades em cripto.
Em termos práticos, quem foi notificado pela Trezor – ou suspeita estar na base afetada – deve redobrar a atenção com mensagens relacionadas a criptomoedas, especialmente as que tratem de “atualização urgente”, “bloqueio de conta”, “recuperação de fundos” ou “problemas na carteira”. Desconfiar de qualquer pedido de dados sensíveis, verificar URLs com cuidado e digitar manualmente endereços de sites em vez de clicar em links são medidas simples, mas eficazes para evitar cair em armadilhas.
Outra boa prática é segmentar e-mails e números de telefone usados em serviços financeiros e de criptoativos. Usar endereços de e-mail específicos para exchanges, bancos e carteiras pode facilitar a identificação de tentativas de phishing: se uma mensagem “oficial” chega em uma conta que nunca foi cadastrada naquele serviço, o alerta de fraude é imediato. Habilitar autenticação em duas etapas (2FA) em todas as plataformas possíveis também reduz o impacto de eventuais vazamentos de senha.
O caso Trezor também reacende o debate sobre como empresas do ecossistema cripto escolhem e fiscalizam seus parceiros. Operadoras de logística, call centers, prestadores de suporte e empresas de marketing frequentemente lidam com volumes significativos de dados de clientes. Sem mecanismos rígidos de auditoria, criptografia e controle de acesso, esses elos terceirizados tendem a se tornar o alvo preferencial de invasores – muitas vezes mais acessíveis do que a infraestrutura principal da empresa.
Para o setor de segurança digital, incidentes como esse reforçam a necessidade de políticas de minimização de dados: coletar apenas o estritamente necessário, armazenar pelo menor tempo possível e, quando viável, utilizar técnicas de anonimização ou pseudonimização. Quanto menos informações sensíveis estiverem disponíveis em um único ponto, menor será o estrago em caso de comprometimento.
No universo das criptomoedas, em que a ideia de “ser o próprio banco” é central, a responsabilidade pela proteção de ativos e dados é compartilhada. Fabricantes precisam desenhar processos e produtos pensando em privacidade desde o início, enquanto usuários precisam adotar hábitos mais rigorosos de segurança. O vazamento na ShipMonk mostra que mesmo quem escolhe uma carteira de hardware para elevar o nível de proteção dos fundos cripto não está imune a riscos associados ao mundo físico e ao tratamento de informações pessoais.