Um vazamento envolvendo clientes da Trezor revelou um problema que vai muito além de um ataque cibernético: dados pessoais que deveriam ter sido eliminados continuavam armazenados nos sistemas de um fornecedor terceirizado.
A fabricante de hardware wallets atualizou o alcance do incidente envolvendo sua parceira de logística ShipMonk e informou que aproximadamente 67 mil clientes adicionais dos Estados Unidos foram afetados.
Com a atualização, o número total chega a 80.689 clientes — aproximadamente 81 mil pessoas.
A descoberta representa uma expansão expressiva em relação ao comunicado inicial de agosto, quando a Trezor havia identificado 13.689 clientes afetados.
O ponto mais preocupante é a origem dos novos registros: eles pertencem a compras realizadas entre novembro de 2019 e agosto de 2021.
Segundo a Trezor, essas informações já deveriam ter sido apagadas pela ShipMonk.
Incidente não comprometeu as carteiras da Trezor
Existe uma distinção fundamental para compreender o caso.
Os sistemas da Trezor não foram invadidos.
Também não existem indicações de que os dispositivos físicos da companhia tenham sido comprometidos.
Chaves privadas e backups das carteiras não fazem parte dos dados que a empresa informou terem sido expostos.
O incidente aconteceu na infraestrutura de um terceiro utilizado pela Trezor para logística e entrega de produtos.
Isso significa que possuir uma hardware wallet Trezor não implica que os ativos armazenados nela tenham sido comprometidos.
O problema está nos dados pessoais dos compradores
Embora os criptoativos não tenham sido diretamente expostos, as informações vazadas são particularmente sensíveis considerando o perfil das vítimas.
Nos aproximadamente 67 mil registros adicionais foram expostos:
nomes;
endereços de e-mail;
números de telefone;
endereços físicos de entrega;
e números dos pedidos.
Isoladamente, esses dados já possuem valor para criminosos.
Quando associados ao fato de que determinada pessoa comprou uma hardware wallet de criptomoedas, tornam-se ainda mais perigosos.
Criminosos agora podem saber quem possui uma hardware wallet
Esse é um aspecto que diferencia esse incidente de muitos vazamentos tradicionais de comércio eletrônico.
Um endereço de entrega associado à compra de uma carteira física de criptomoedas pode indicar que naquela residência existe alguém interessado em autocustódia de ativos digitais.
Não significa necessariamente que a pessoa ainda possua criptomoedas.
Muito menos revela quanto ela possui.
Mas cria uma informação extremamente útil para engenharia social.
Um criminoso pode saber o nome da vítima, seu telefone, seu e-mail, onde mora e que realizou uma compra relacionada à Trezor.
Isso permite ataques altamente personalizados.
Phishing pode parecer extremamente convincente
Imagine uma mensagem dizendo:
“Detectamos uma vulnerabilidade em sua Trezor. Para proteger seus ativos, precisamos validar sua carteira.”
O criminoso pode utilizar o nome real da vítima.
Número do pedido.
Data aproximada da compra.
Endereço.
Telefone.
Esses detalhes aumentam significativamente a credibilidade da fraude.
O próximo passo pode ser convencer a vítima a revelar sua wallet backup, também conhecida como seed ou frase de recuperação.
Se isso acontecer, o atacante pode assumir controle dos ativos.
Trezor reforça: nunca compartilhe sua wallet backup
A recomendação mais importante permanece a mesma.
A frase de recuperação nunca deve ser digitada em um site, enviada por e-mail, informada por telefone ou compartilhada com supostos funcionários de suporte.
Quem possui a seed consegue, em condições normais, reconstruir a carteira.
Isso significa que um criminoso não precisa necessariamente roubar fisicamente a Trezor.
Se conseguir convencer a vítima a entregar as palavras de recuperação, pode recriar a carteira em outro dispositivo.
O vazamento começou a ser divulgado em agosto
A Trezor revelou o incidente inicialmente em 13 de agosto de 2026.
Naquele momento, a ShipMonk havia informado sobre acesso não autorizado a sistemas contendo informações de clientes.
O primeiro levantamento identificou 11.742 clientes com exposição completa, incluindo nome, e-mail, telefone e endereço de entrega.
Outros 1.947 clientes tiveram exposição parcial envolvendo nome, cidade e endereço de e-mail.
O total inicial era de 13.689 pessoas.
Brasileiros estavam entre os primeiros afetados
O primeiro grupo incluía clientes que receberam pedidos em diferentes países.
Estados Unidos.
Reino Unido.
Suécia.
Colômbia.
Brasil.
Itália.
Portugal.
Naquele momento, o incidente estava relacionado principalmente a pedidos entregues entre 10 de maio e 8 de agosto de 2026.
A situação parecia relativamente delimitada.
Até que uma nova descoberta mudou completamente a dimensão do caso.
Mais 67 mil registros antigos apareceram
Em 2 de setembro, a ShipMonk informou à Trezor que o conjunto de informações comprometidas era muito maior.
Havia dados de aproximadamente 67 mil clientes norte-americanos adicionais.
Essas pessoas haviam realizado pedidos entre novembro de 2019 e agosto de 2021.
A Trezor tornou a ampliação do incidente pública em 4 de setembro.
O problema é que registros tão antigos não deveriam continuar disponíveis.
Trezor possui política de retenção de 90 dias
A fabricante afirma utilizar uma política relativamente agressiva de minimização de dados em sua loja.
Informações pessoais relacionadas às compras são mantidas por aproximadamente 90 dias.
O período existe para cobrir o ciclo necessário de uma transação:
entrega;
devoluções;
reembolsos;
substituições;
e possíveis problemas relacionados ao pedido.
Depois disso, a política prevê que as informações sejam apagadas ou anonimizadas.
ShipMonk deveria seguir a mesma regra
Essa exigência não estava limitada aos sistemas da própria Trezor.
Segundo a fabricante, a ShipMonk também deveria cumprir a política de exclusão.
A Trezor afirma que, durante o relacionamento entre as empresas, solicitou repetidamente a eliminação dos registros e recebeu confirmações por escrito de que os dados haviam sido apagados.
A descoberta dos registros de 2019 a 2021 demonstrou que isso não aconteceu conforme esperado.
O vazamento virou também um caso de governança
Essa talvez seja a parte mais importante do incidente.
O problema deixa de ser apenas:
“Como o invasor entrou?”
E passa a ser também:
“Por que esses dados ainda estavam lá para serem roubados?”
Se informações antigas tivessem sido efetivamente eliminadas conforme a política estabelecida, aproximadamente 67 mil pessoas adicionais não estariam dentro do alcance desse incidente.
Minimização de dados é uma ferramenta de segurança
Empresas costumam tratar políticas de retenção principalmente como obrigação jurídica ou de privacidade.
Mas existe uma lógica de segurança extremamente simples:
um dado que não existe mais não pode ser roubado.
Quanto maior a quantidade de informações armazenadas, maior é o impacto potencial de uma invasão.
Por isso, reduzir retenção diminui a chamada superfície de dados.
O caso da Trezor demonstra como essa estratégia pode falhar quando fornecedores não executam as mesmas políticas.
Ter contrato não significa que o dado foi apagado
Existe uma lição especialmente relevante para empresas que terceirizam operações.
Contratos podem determinar:
“Apague esses registros depois de 90 dias.”
Relatórios podem afirmar:
“Os dados foram apagados.”
Fornecedores podem confirmar:
“Processo concluído.”
Mas segurança e privacidade exigem também verificação técnica.
Auditorias.
Evidências.
Controles automatizados.
Inventário de dados.
Testes periódicos.
Governança sobre cópias e backups.
Caso contrário, existe o risco de uma organização acreditar que determinado conjunto de informações não existe mais quando, na prática, ele continua armazenado em algum sistema terceirizado.
Terceiros viraram uma das maiores superfícies de ataque
A transformação digital criou enormes cadeias de fornecedores.
Uma empresa pode utilizar terceiros para:
logística;
atendimento;
pagamentos;
CRM;
marketing;
análise de dados;
nuvem;
autenticação;
recursos humanos;
e suporte.
Cada integração cria dependências.
E cada fornecedor pode possuir cópias de informações sensíveis.
Isso significa que a segurança de uma empresa não termina em seu próprio firewall.
Ataque teria envolvido plataforma de analytics
A Trezor não detalhou publicamente todos os aspectos técnicos utilizados pelos invasores para acessar os sistemas da ShipMonk.
Entretanto, notificações relacionadas ao incidente indicam que o comprometimento esteve associado a uma vulnerabilidade na plataforma de análise Metabase utilizada pelo fornecedor.
O caso foi relacionado a uma campanha de exploração de uma vulnerabilidade crítica de SQL injection, capaz de permitir acesso administrativo a instâncias vulneráveis.
Outras empresas também foram associadas a incidentes envolvendo essa campanha.
ShinyHunters aparece nos relatos, mas exige cautela
Relatos de segurança também apontam que a ShipMonk recebeu mensagens de extorsão associadas ao grupo conhecido como ShinyHunters.
Isso adiciona uma possível ligação entre o vazamento e um ecossistema criminoso especializado em roubo e extorsão de dados.
Entretanto, é importante separar evidências.
A existência das mensagens e relatos relacionados ao grupo não significa automaticamente que todos os detalhes do ataque tenham sido tecnicamente atribuídos de maneira definitiva aos ShinyHunters.
A investigação sobre a cadeia completa do incidente continua relevante.
O maior perigo agora pode ser o pós-vazamento
Depois que informações pessoais são copiadas, corrigir a vulnerabilidade original resolve apenas parte do problema.
Os dados já expostos podem continuar circulando.
Uma senha pode ser alterada.
Um token pode ser revogado.
Um certificado pode ser substituído.
Mas uma pessoa não consegue simplesmente trocar seu nome e endereço residencial.
Isso cria risco de longo prazo.
Golpe pode chegar também pelo telefone
A Trezor alertou especificamente para diferentes canais.
E-mail.
Telefone.
Cartas.
Não apenas mensagens digitais.
Um criminoso com nome, telefone, endereço e histórico de compra pode utilizar engenharia social muito mais sofisticada do que um phishing genérico.
Pode ligar se passando pela empresa.
Pode mencionar detalhes reais.
Pode alegar uma emergência de segurança.
Pode tentar convencer a vítima de que seus bitcoins estão prestes a ser roubados.
O objetivo é criar urgência.
Cartas físicas também são um risco real
Esse ponto pode parecer incomum, mas já existe histórico de golpes direcionados a usuários de hardware wallets utilizando correspondência física.
Uma carta com logotipo, nome completo e endereço correto pode parecer extremamente legítima.
Ela pode incluir um QR Code levando a um site falso.
O site então solicita a seed para uma suposta “verificação de segurança”.
O design pode ser praticamente idêntico ao site oficial.
A regra continua sendo a mesma:
uma empresa legítima nunca precisa da frase de recuperação para proteger sua carteira.
Endereço físico adiciona outro nível de preocupação
Existe ainda uma dimensão que vai além do phishing.
A própria Trezor reconhece que o vazamento pode representar riscos de segurança física.
Saber que determinado endereço recebeu uma hardware wallet pode fazer com que criminosos presumam — corretamente ou não — que naquela residência existem ativos digitais relevantes.
Essa informação pode ser usada para ameaças, extorsão ou outras formas de abordagem.
Por isso, exposição de endereço possui um impacto diferente de vazamento apenas de e-mail.
Trezor acelera projeto de entrega anônima
Depois do incidente, a fabricante afirmou que está acelerando seus esforços para desenvolver uma opção de entrega anônima em sua loja.
A ideia é reduzir a quantidade de informações pessoais que precisam sair dos sistemas da companhia e chegar aos parceiros logísticos.
Enquanto isso, a Trezor recomenda considerar alternativas como:
caixas postais;
lockers;
pontos de retirada;
ou outras formas de entrega que reduzam a exposição do endereço residencial quando disponíveis.
Não receber e-mail significa não estar no grupo identificado
A companhia afirma que entrou em contato diretamente com os clientes que identificou como afetados.
Segundo a Trezor, quem não recebeu a comunicação oficial sobre o incidente não está entre os clientes identificados no conjunto comprometido.
Mesmo assim, qualquer comunicação inesperada sobre criptomoedas merece cautela.
Especialmente mensagens criando urgência ou solicitando informações relacionadas à carteira.
Outro incidente atingiu usuários em 2024
Não é a primeira vez que dados relacionados a clientes da marca aparecem em um comprometimento de terceiro.
Em janeiro de 2024, a Trezor informou um incidente envolvendo seu portal terceirizado de suporte.
Na ocasião, informações de aproximadamente 66 mil usuários ficaram acessíveis.
Dados roubados posteriormente foram utilizados em campanhas de phishing direcionadas a clientes.
Esse histórico mostra por que o vazamento atual merece atenção.
Criminosos já demonstraram interesse em transformar dados de clientes de hardware wallets em ataques de engenharia social.
Hardware wallet continua segura — o humano vira o alvo
Existe uma ironia nesse tipo de ataque.
Hardware wallets são projetadas justamente para manter as chaves criptográficas afastadas de computadores e serviços online potencialmente comprometidos.
Atacar diretamente o dispositivo pode ser extremamente difícil.
Então criminosos procuram outro caminho.
O usuário.
Em vez de quebrar a criptografia, tentam convencer a vítima a entregar voluntariamente aquilo que precisam.
Engenharia social contorna a melhor criptografia
Um atacante pode não conseguir extrair uma chave privada de um dispositivo.
Mas pode enviar uma mensagem:
“Precisamos restaurar sua carteira.”
“Detectamos uma tentativa de invasão.”
“Seu dispositivo precisa ser atualizado imediatamente.”
“Digite suas 24 palavras para validar sua conta.”
Se a vítima obedecer, nenhuma vulnerabilidade criptográfica foi necessária.
É por isso que dados pessoais ligados especificamente a proprietários de hardware wallets possuem valor elevado.
Brasil está diretamente relacionado ao incidente original
Para usuários brasileiros, existe uma informação especialmente relevante.
O Brasil fazia parte dos países incluídos no primeiro conjunto de clientes afetados pelo vazamento divulgado em agosto.
A expansão de aproximadamente 67 mil registros anunciada em setembro está concentrada em clientes dos Estados Unidos que compraram entre 2019 e 2021.
Portanto, não é correto afirmar que os 67 mil novos casos estão distribuídos globalmente.
Mas brasileiros já estavam entre os afetados anteriormente.
Caso é alerta para LGPD e governança de terceiros
O episódio também oferece uma lição importante para empresas brasileiras.
A LGPD incorpora princípios como necessidade, segurança, prevenção e responsabilização.
Guardar informações indefinidamente apenas porque armazenamento é barato pode aumentar riscos.
E terceirizar o processamento não elimina automaticamente a responsabilidade de governança sobre os dados.
Empresas precisam saber:
quem possui suas informações;
onde elas estão;
por quanto tempo são mantidas;
quais cópias existem;
quando serão eliminadas;
e como essa eliminação pode ser comprovada.
“Apagamos seus dados” precisa significar apagamos seus dados
Essa talvez seja a maior lição deixada pelo incidente.
A Trezor possuía uma política de retenção.
Havia exigências para o fornecedor.
Segundo a empresa, existiam inclusive confirmações por escrito de que os dados haviam sido excluídos.
Mesmo assim, informações de clientes que compraram produtos cinco, seis e até quase sete anos antes continuavam disponíveis.
Quando o fornecedor foi comprometido, esses registros também ficaram expostos.
O ataque mostra que segurança da informação não depende apenas de impedir invasões.
Também depende de reduzir aquilo que estará disponível para ser roubado quando uma invasão inevitavelmente acontecer.
Para os quase 81 mil clientes atingidos, o risco agora não está em uma falha nas carteiras físicas da Trezor.
Está na combinação de informações pessoais que pode permitir aos criminosos saber quem comprou uma hardware wallet, como entrar em contato com essa pessoa e, em muitos casos, onde ela mora.
E isso transforma um vazamento de uma empresa de logística em um problema de segurança que pode acompanhar as vítimas durante anos.
