Comprar uma carteira física para manter criptomoedas longe de ameaças digitais não elimina um risco que acontece fora do dispositivo: a exposição dos dados pessoais utilizados para recebê-lo. A Trezor confirmou que uma violação envolvendo sua parceira logística ShipMonk comprometeu informações de 13.689 clientes, incluindo usuários no Brasil.
O incidente não comprometeu as hardware wallets, chaves privadas, backups das carteiras ou a infraestrutura interna da Trezor. O problema ocorreu nos sistemas utilizados pela ShipMonk para processar e entregar pedidos.
Ainda assim, a natureza das informações expostas torna o episódio especialmente relevante. Nomes, telefones, e-mails e, em milhares de casos, endereços físicos podem permitir que criminosos criem campanhas de phishing e engenharia social altamente direcionadas contra pessoas que já são identificadas como compradoras de dispositivos destinados à proteção de criptomoedas.
A própria Trezor reconheceu o potencial de risco e notificou individualmente os clientes afetados.
Quase 14 mil clientes tiveram informações expostas
Segundo informações divulgadas pela Trezor, 11.742 clientes tiveram um conjunto mais amplo de informações comprometido.
Entre os dados expostos estão:
- nome;
- endereço de e-mail;
- número de telefone;
- endereço de entrega.
Outros 1.947 clientes tiveram uma quantidade menor de informações comprometidas, incluindo nome, cidade e endereço de e-mail.
Somados, os dois grupos chegam a 13.689 pessoas afetadas.
A empresa informou que clientes dos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal estão entre os atingidos.
Inicialmente, a investigação estava concentrada em compradores que haviam recebido pedidos durante os 90 dias anteriores a 8 de agosto de 2026. Posteriormente, a Trezor informou que parte dos registros afetados poderia estar relacionada a pedidos anteriores e que estava verificando o período exato com a ShipMonk.
Ataque não comprometeu as carteiras
Existe uma distinção importante entre o vazamento dos dados dos clientes e a segurança das criptomoedas armazenadas por eles.
De acordo com a Trezor, seus sistemas internos e dispositivos permaneceram seguros.
Informações diretamente relacionadas ao controle das carteiras, como chaves privadas e backups, também não fizeram parte do vazamento.
Isso significa que possuir dados pessoais expostos no incidente não permite, por si só, que o invasor movimente as criptomoedas armazenadas em uma Trezor.
O perigo aparece na etapa seguinte.
Com nome, telefone, e-mail e endereço de uma pessoa que comprovadamente comprou uma hardware wallet, criminosos possuem informações suficientes para criar abordagens extremamente personalizadas.
Dados podem alimentar ataques de phishing
Imagine receber um e-mail utilizando seu nome completo, citando sua Trezor e apresentando informações que parecem confirmar que a mensagem realmente veio da empresa.
Ou uma ligação de alguém que conhece seu nome, telefone e cidade.
Esses elementos aumentam a credibilidade de golpes de engenharia social.
Um criminoso poderia, por exemplo, inventar uma suposta atualização de segurança e direcionar a vítima para um site falso que solicita o backup da carteira.
Esse backup — frequentemente chamado de seed phrase ou frase de recuperação — é uma das informações mais sensíveis de uma carteira de criptomoedas.
Quem obtém essas palavras pode, dependendo da configuração utilizada, reconstruir a carteira e assumir o controle dos ativos.
Por isso, a Trezor reforçou uma orientação fundamental aos clientes: o backup da carteira nunca deve ser digitado em um site nem compartilhado com terceiros.
Endereços físicos tornam o incidente mais delicado
Há outro componente que diferencia esse vazamento de incidentes envolvendo apenas e-mail e nome.
11.742 pessoas tiveram seus endereços de entrega expostos.
Quando esses dados estão associados à compra de uma hardware wallet, existe uma inferência possível: aquela residência pode estar ligada a alguém que possui criptomoedas.
Isso não significa que todos os compradores possuam grandes quantidades de ativos digitais — nem que exista evidência de ataques físicos decorrentes deste incidente.
A própria Trezor informou não ter conhecimento, até o momento, de golpes ou ameaças físicas confirmadamente relacionados aos dados expostos.
Mesmo assim, especialistas em segurança vêm chamando atenção para o risco físico envolvendo detentores de criptomoedas.
Diferentemente de ativos mantidos em instituições financeiras tradicionais, criptomoedas podem ser transferidas rapidamente quando criminosos conseguem acesso às credenciais necessárias.
Por isso, informações que relacionem uma identidade e um endereço residencial à posse de uma carteira física podem possuir valor adicional para criminosos.
Trezor diz não ter identificado uso criminoso dos dados
Até as informações mais recentes divulgadas sobre o caso, a Trezor afirmou não ter evidências confirmadas de que os registros tenham sido publicados, comercializados ou utilizados em ataques.
Isso é importante porque vazamento de dados não significa automaticamente que as informações já estejam circulando publicamente.
Ainda assim, usuários afetados devem considerar que os dados podem eventualmente ser utilizados.
Segundo a empresa, todos os clientes identificados como atingidos receberam uma comunicação direta.
A Trezor informou ainda que compradores que não receberam essa notificação específica não estão entre os registros identificados como comprometidos.
Pedidos realizados pela Amazon também não foram atingidos, pois utilizam outra estrutura de fulfillment.
ShipMonk armazenava dados necessários para as entregas
A ShipMonk atua como parceira logística da Trezor e utiliza informações dos compradores para processar e enviar os produtos.
Esse tipo de operação inevitavelmente exige acesso a determinados dados, como nome e endereço de entrega.
A Trezor possui uma política de retenção segundo a qual essas informações devem ser apagadas ou anonimizadas pelos parceiros após 90 dias.
Essa política ajudou a limitar o volume de informações disponíveis no ambiente comprometido.
Por outro lado, a identificação de registros potencialmente anteriores ao período inicialmente esperado levou a Trezor a continuar verificando com a ShipMonk se a política foi aplicada conforme previsto.
Incidente expõe risco da cadeia de fornecedores
O caso também apresenta uma lição importante para empresas de tecnologia.
Uma organização pode investir pesadamente na segurança de seu produto e de seus próprios servidores e ainda assim sofrer consequências provocadas por um fornecedor externo.
Nesse episódio, não foi necessário comprometer o firmware da Trezor, quebrar sua criptografia ou invadir diretamente a infraestrutura da fabricante.
O ponto de entrada estava na cadeia de fornecedores.
Parceiros de logística, plataformas de atendimento, sistemas de marketing, processadores de pagamentos e diferentes serviços SaaS podem armazenar informações valiosas relacionadas aos clientes de uma empresa.
Do ponto de vista da gestão de riscos, portanto, a superfície de ataque não termina nos sistemas administrados diretamente pela organização.
Não é o primeiro incidente envolvendo dados de clientes
A Trezor afirma que esta é a primeira vez desde sua fundação, em 2013, que um incidente envolvendo a companhia resulta na exposição de telefones e endereços de entrega de clientes.
Isso não significa, entretanto, que seja o primeiro episódio envolvendo informações de usuários relacionadas à empresa.
Em janeiro de 2024, a Trezor informou que um portal de suporte de terceiros havia sido acessado sem autorização, afetando dados relacionados a aproximadamente 66 mil contatos.
O novo episódio reforça justamente uma característica comum aos dois casos: o risco associado a fornecedores externos.
Para empresas que operam no setor de criptomoedas, esse problema assume importância adicional porque dados aparentemente comuns podem adquirir outro significado quando associados à posse de ativos digitais.
O que usuários brasileiros devem fazer
Clientes brasileiros que receberam uma comunicação oficial da Trezor sobre o incidente devem aumentar a atenção a contatos recebidos por e-mail, telefone, SMS e outros canais.
Uma mensagem possuir seu nome, endereço ou informações aparentemente privadas não significa que seja legítima.
Esses dados podem justamente ter sido obtidos no vazamento.
Usuários devem desconfiar principalmente de mensagens que criem urgência para atualizar uma carteira, verificar uma suposta invasão ou fornecer informações para impedir o bloqueio de ativos.
Nenhum pedido inesperado para fornecer a frase de recuperação deve ser atendido.
Também é recomendável acessar informações sobre o incidente diretamente pelos canais oficiais da Trezor, em vez de clicar em links recebidos em mensagens suspeitas.
Segurança de uma hardware wallet vai além do dispositivo
O episódio mostra uma aparente contradição do mercado de criptomoedas.
Uma hardware wallet existe justamente para reduzir a exposição das chaves que controlam os ativos. Entretanto, comprar um equipamento físico normalmente exige fornecer nome e endereço para que ele seja entregue.
Assim, enquanto as credenciais digitais podem permanecer protegidas offline, informações capazes de identificar fisicamente o proprietário passam por sistemas de comércio eletrônico e logística.
O incidente da Trezor não demonstra uma falha na segurança criptográfica de suas carteiras.
Ele evidencia outro problema: proteger criptomoedas também exige proteger os metadados que podem identificar seus proprietários.
Para fabricantes, exchanges e empresas que operam nesse mercado, minimizar a coleta e o tempo de retenção dessas informações pode se tornar tão importante quanto proteger os sistemas diretamente relacionados aos ativos.
Para os usuários, o alerta é igualmente claro: após um vazamento como esse, qualquer contato que demonstre conhecimento sobre a posse de uma hardware wallet deve ser tratado com cautela — justamente porque agora criminosos podem possuir informações suficientes para tornar a abordagem muito mais convincente.
