Trezor confirma exposição de dados de 13 mil clientes e alerta para risco elevado de golpes, inclusive no Brasil
A Trezor, uma das principais fabricantes mundiais de carteiras físicas para criptomoedas, confirmou que um incidente de segurança envolvendo sua parceira de logística ShipMonk resultou na exposição de dados pessoais de mais de 13 mil clientes. Entre os afetados estão usuários de diversos países, incluindo brasileiros, o que acende um alerta importante para a comunidade cripto da região.
De acordo com a empresa, a falha não ocorreu diretamente em seus sistemas, mas na infraestrutura da ShipMonk, responsável pelo armazenamento e envio dos produtos. Para que a entrega seja feita, a logística precisa de informações como nome, endereço, e-mail e telefone do comprador – exatamente o tipo de dado que foi comprometido nesse incidente.
Inicialmente, a investigação apontava que o vazamento estaria restrito a pedidos recentes, feitos em um intervalo de 90 dias. Com o avanço da análise forense, porém, a Trezor identificou que compras mais antigas também podem ter sido impactadas, ampliando o universo de clientes expostos e o período de risco.
No detalhamento divulgado, a empresa informou que 11.742 clientes de Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal tiveram nome completo, endereço de e-mail, número de telefone e endereço de entrega acessados de forma indevida. Essas compras foram realizadas entre 10 de maio e 8 de agosto, o que permite traçar um recorte temporal mais preciso para esse grupo.
Além disso, outros 1.947 consumidores tiveram ao menos nome, cidade de residência e e-mail expostos. A Trezor explicou que parte dessas ordens pode ter sido feita antes de 10 de maio, mas o período exato ainda está sendo apurado em conjunto com a ShipMonk. Ou seja, ainda não há uma delimitação final sobre o alcance total da violação.
A política de privacidade da Trezor prevê que os parceiros de logística sigam uma regra de retenção de dados de 90 dias: após esse prazo, as informações usadas para processar o envio devem ser apagadas ou anonimizadas. O incidente levanta dúvidas sobre a forma como essa política vinha sendo aplicada na prática e se os dados antigos foram de fato eliminados dentro do período previsto.
Um ponto enfatizado pela companhia é que seus sistemas internos, dispositivos e infraestrutura de segurança não foram comprometidos. As carteiras de hardware continuam operando normalmente, e não há indícios de que chaves privadas, seed phrases ou fundos em criptomoedas tenham sido acessados por terceiros. O ataque focou dados pessoais, não o funcionamento técnico das wallets.
Mesmo assim, a exposição de informações como nome, telefone, e-mail e histórico de compra de uma carteira de criptomoedas aumenta, e muito, a superfície de ataque para golpes de engenharia social. Criminosos podem explorar esses dados para criar campanhas de phishing altamente personalizadas, que parecem mais legítimas justamente por utilizarem dados reais do usuário.
Entre os cenários mais prováveis estão e-mails ou mensagens de texto se passando pela Trezor, corretoras de criptomoedas ou instituições financeiras, pedindo confirmação de dados, atualização de segurança, instalação de supostos aplicativos de proteção ou, no pior caso, solicitando que o usuário insira a seed phrase em um site falso. Com o contexto correto – “vimos que você é cliente da Trezor”, por exemplo – a chance de alguém cair no golpe aumenta.
Outro aspecto sensível é a exposição de endereços físicos de clientes que compraram hardware wallets. Em diferentes países já foram registrados casos de invasões domiciliares, assaltos e sequestros direcionados a pessoas conhecidas por possuírem grandes quantias em ativos digitais. Uma base de dados que conecta a identidade e o endereço residencial a um comprador de carteira cripto tem valor significativo para criminosos interessados em ataques físicos, não apenas digitais.
A Trezor afirmou que contatou diretamente todos os clientes que identificou como potencialmente afetados. Nos comunicados, a empresa orienta que qualquer e-mail, mensagem ou telefonema alegando ser da Trezor seja cuidadosamente conferido com as informações disponíveis em seus canais oficiais, e reforça que em nenhuma hipótese o usuário deve fornecer a seed phrase, o backup da carteira ou credenciais sensíveis a terceiros.
A companhia também destacou que jamais solicita que o cliente digite a seed phrase em sites, formulários online, chamadas de suporte ou mensagens recebidas por e-mail ou SMS. A seed deve ser inserida apenas na própria carteira física ou, quando aplicável, em aplicativos oficiais, seguindo rigorosamente os procedimentos de recuperação documentados pelo fabricante.
Segundo a Trezor, desde sua fundação em 2013, esta é a primeira vez em que números de telefone e endereços de entrega de clientes são expostos em um incidente de segurança. A empresa reconheceu o potencial de risco envolvido, pediu desculpas públicas e afirmou que está revisando processos internos e exigências contratuais impostas a parceiros de logística.
Como resposta estratégica ao vazamento, a fabricante anunciou que está acelerando o desenvolvimento do recurso batizado de “Anonymous Delivery”, concebido para reduzir ao máximo a associação direta entre identidade do comprador, endereço residencial e a aquisição de uma carteira de hardware. A intenção é mitigar o impacto de incidentes semelhantes no futuro.
Nesse modelo, o cliente não informará seu nome real no pedido, mas sim um apelido ou identificador alternativo. A entrega não será feita em casa, e sim em um locker ou armário automatizado de encomendas. O pacote chegará sem qualquer referência visual à Trezor, com remetente genérico, dificultando que alguém identifique o conteúdo apenas ao observar a embalagem.
A comunicação por parte da transportadora será reduzida ao essencial: envio de um código PIN ou senha, via e-mail ou SMS, para permitir que o comprador retire a encomenda no locker. Essa abordagem busca restringir a quantidade de dados pessoais coletados e armazenados no processo, além de tornar mais complexa a correlação entre a compra de uma carteira cripto e o endereço físico do usuário.
A previsão da empresa é disponibilizar o Anonymous Delivery inicialmente na União Europeia a partir de setembro, com expansão para os Estados Unidos até o final de 2026. A expectativa é que, à medida que a solução amadureça, o modelo possa ser levado a outros mercados, especialmente aqueles em que o risco físico para detentores de criptoativos é mais elevado.
Para usuários brasileiros afetados ou preocupados com o episódio, algumas medidas práticas são recomendadas. A primeira delas é passar a tratar com extrema desconfiança qualquer mensagem que mencione sua compra de uma Trezor, ainda que contenha dados reais como seu nome e telefone. Golpistas podem utilizar essas informações para criar um senso falso de legitimidade.
Outra ação importante é reforçar a camada de proteção digital: ativar autenticação em duas etapas (preferencialmente por aplicativo autenticador e não por SMS) em e-mails, corretoras de criptomoedas e serviços financeiros; revisar senhas antigas; e monitorar notificações de login suspeito. Embora a seed phrase não tenha sido vazada, a combinação de dados pessoais pode ser usada para tentativa de invasão de contas online.
Também é prudente revisar a exposição de informações pessoais em redes sociais. Muitos investidores divulgam fotos de suas carteiras de hardware, falam sobre valores investidos ou compartilham dados de localização, o que, somado a um vazamento de endereço, aumenta ainda mais o risco de ataques direcionados, tanto virtuais quanto físicos.
Para quem possui grandes quantias em criptoativos, considerar estratégias adicionais de segurança física pode ser decisivo. Isso inclui cofres, divisão de chaves entre múltiplas carteiras ou locais, uso de multisig, além de cuidado com quem tem conhecimento sobre a existência e o tamanho do patrimônio em criptomoedas. Segurança nesse contexto não é apenas tecnológica, mas também comportamental.
Do ponto de vista corporativo, o caso Trezor-ShipMonk expõe um ponto crítico da segurança da informação: a cadeia de fornecedores. Não basta uma empresa investir pesado em proteção interna se parceiros que manipulam dados sensíveis não seguem padrões rigorosos de segurança e de governança de dados. Cada fornecedor que armazena, processa ou transporta informações torna-se um elo potencialmente vulnerável.
Esse tipo de incidente tende a impulsionar revisões contratuais com terceiros, inclusão de cláusulas mais severas sobre proteção de dados, auditorias técnicas periódicas e restrição no volume de informações compartilhadas com parceiros. Quanto menos dado circular fora do domínio principal da empresa, menor o impacto de uma eventual violação.
Por fim, o episódio reforça uma lição central para qualquer usuário de criptomoedas: a principal linha de defesa continua sendo o próprio dono dos ativos. Mesmo em situações em que dados pessoais escapam do controle do fabricante, manter a seed phrase em segurança, desconfiar de contatos não solicitados e seguir boas práticas de segurança digital e física continuam sendo os fatores mais determinantes para proteger o patrimônio.