Um novo capítulo do vazamento de dados envolvendo clientes da Trezor colocou cerca de 67 mil pessoas em situação de risco elevado.
Informações como nome, endereço de email, número de telefone e endereço de entrega acabaram nas mãos de invasores após o comprometimento de sistemas de uma empresa responsável pela logística da fabricante de carteiras de criptomoedas.
O caso chama atenção não apenas pela quantidade de pessoas envolvidas. Quando criminosos sabem quem comprou uma carteira física de criptomoedas e também conhecem o endereço dessa pessoa, o problema deixa de ser apenas mais uma campanha de phishing perdida na caixa de entrada.
Segundo a SatoshiLabs, empresa responsável pela Trezor, os dados podem ser utilizados em emails fraudulentos, ligações, correspondências falsas e outras tentativas de engenharia social. A companhia também reconheceu que a exposição pode representar riscos à segurança física das pessoas afetadas.
Vazamento de dados da Trezor começou em uma empresa parceira
O incidente não ocorreu diretamente na infraestrutura da Trezor. A origem foi a ShipMonk, empresa responsável pelo envio das carteiras físicas para clientes da fabricante.
Em um comunicado publicado em 13 de agosto de 2026, a SatoshiLabs informou que invasores conseguiram acessar sistemas da ShipMonk que armazenavam informações de clientes. Posteriormente, a empresa de logística afirmou que o incidente estava relacionado à exploração de uma vulnerabilidade SQL injection até então desconhecida na plataforma Metabase Cloud SaaS.
Aqui aparece um daqueles problemas clássicos da segurança corporativa: você pode proteger sua própria infraestrutura e ainda assim acabar exposto por meio de um fornecedor.
E, neste caso, existe outro detalhe importante.
A SatoshiLabs afirma que exigia contratualmente que parceiros responsáveis pelos envios apagassem ou tornassem anônimos os dados dos clientes depois de 90 dias. Isso aparentemente não aconteceu.
Dados deveriam ter sido apagados após 90 dias
A primeira investigação revelou que informações de pedidos entregues entre 10 de maio e 8 de agosto de 2026 continuavam armazenadas nos sistemas da ShipMonk.
Foram afetados inicialmente 3.889 clientes dos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.
Sim, clientes brasileiros também aparecem entre os afetados nessa primeira leva identificada pela empresa. Mas a investigação encontrou um problema consideravelmente maior.
Em uma atualização posterior, a SatoshiLabs confirmou que os invasores também tiveram acesso aos dados completos de entrega de aproximadamente 67 mil clientes dos Estados Unidos.
Essas informações estavam relacionadas a pedidos realizados entre novembro de 2019 e agosto de 2021.
Ou seja, dados de compras realizadas anos atrás ainda estavam armazenados.
Segundo a SatoshiLabs, durante toda a relação comercial com a ShipMonk, a empresa solicitou e recebeu confirmações por escrito de que essas informações estavam sendo eliminadas conforme previsto em contrato e nas políticas estabelecidas entre as companhias.
A descoberta de que isso não estava acontecendo amplia a discussão para além da invasão. Existe também uma questão importante sobre retenção de dados e até que ponto uma empresa consegue realmente garantir que seus fornecedores estejam cumprindo políticas de privacidade.
Sistemas e carteiras da Trezor não foram comprometidos
Existe uma distinção importante neste vazamento de dados da Trezor. Segundo a SatoshiLabs, os sistemas da fabricante não foram invadidos e as carteiras físicas dos clientes continuam seguras. O incidente está relacionado às informações armazenadas pela empresa responsável pelos envios.
Isso significa que o vazamento, por si só, não entrega aos criminosos acesso às criptomoedas armazenadas nas carteiras.
O perigo está em outro lugar: engenharia social.
Com nome, telefone, email e endereço de uma pessoa que provavelmente possui criptomoedas, criminosos conseguem construir golpes muito mais convincentes.
Uma ligação pode fingir ser do suporte da Trezor. Um email pode alegar que existe algum problema de segurança com a carteira. Uma correspondência física pode chegar até a casa da vítima com aparência legítima e instruções para realizar uma suposta atualização de segurança.
É justamente aí que o golpe pode funcionar.
Clientes relatam ligações e cartas falsas com QR Code
Relatos publicados por usuários no Reddit mostram que algumas pessoas começaram a receber ligações de phishing relacionadas à Trezor.
Também surgiram relatos de correspondências físicas contendo QR Codes fraudulentos.
Esse tipo de ataque merece atenção porque uma carta entregue no endereço residencial transmite uma sensação de legitimidade muito maior do que aquele tradicional email prometendo milhões de dólares de um príncipe desconhecido.
O criminoso já conhece o nome da vítima, sabe onde ela mora e sabe que provavelmente possui uma Trezor.
Com essas informações, a engenharia social fica consideravelmente mais sofisticada. Um QR Code enviado por correspondência pode direcionar a vítima para uma página falsa da Trezor e tentar convencê la a informar sua frase de recuperação ou outras credenciais.
Para quem possui uma carteira física, a regra continua simples: a frase de recuperação nunca deve ser fornecida em sites, formulários, ligações, emails ou mensagens recebidas de supostos funcionários da empresa.
Trezor estuda entregas mais anônimas
Após identificar cada grupo de clientes afetados, a SatoshiLabs afirmou ter enviado emails alertando sobre possíveis tentativas de fraude.
O futuro da parceria com a ShipMonk ainda não está claro. Enquanto isso, a fabricante afirmou que trabalha em uma alternativa para tornar a compra e entrega de suas carteiras mais privadas.
Entre as possibilidades mencionadas estão uma área de compra dedicada, retirada em armários de entrega, embalagens neutras, identificação genérica do remetente e exclusão automática das informações utilizadas para o envio depois que a entrega for concluída.
Para uma empresa cujo produto existe justamente para proteger patrimônio digital, reduzir o vínculo entre identidade, endereço residencial e posse de criptomoedas parece uma mudança bastante razoável. Talvez até óbvia depois deste incidente.
O problema vai além do phishing
A exposição do endereço residencial torna esse vazamento particularmente sensível. A própria SatoshiLabs reconheceu que esta é a primeira vez, desde a fundação da Trezor em 2013, que um incidente envolvendo seus clientes expõe simultaneamente números de telefone e endereços de entrega.
E existe uma razão para isso preocupar tanto o mercado de criptomoedas. Dados que identificam proprietários de carteiras físicas podem servir não apenas para golpes digitais, mas também para selecionar potenciais vítimas de crimes no mundo físico.
A Chainalysis vem alertando para o crescimento dos chamados wrench attacks, expressão utilizada no mercado de criptomoedas para descrever situações em que criminosos recorrem à violência ou coerção para obrigar uma vítima a entregar acesso aos seus ativos.
Segundo estimativas divulgadas pela empresa de análise de blockchain, criminosos já teriam conseguido extrair mais de US$ 30 milhões de proprietários de criptomoedas por meio de ataques violentos em 2026.
Caso o ritmo continue durante o segundo semestre, a empresa estima que 2026 poderá superar 2025, quando o total relacionado a esse tipo de crime chegou a US$ 58 milhões.
Quem comprou uma Trezor precisa redobrar a atenção
Clientes que receberam uma comunicação oficial informando que foram afetados pelo vazamento devem considerar que informações pessoais podem estar circulando entre criminosos.
Isso significa desconfiar principalmente de contatos inesperados envolvendo a carteira.
Uma ligação aparentemente profissional, uma carta bem produzida ou uma mensagem contendo informações verdadeiras sobre você não tornam aquele contato legítimo.
Na realidade, depois de um vazamento como este, ocorre justamente o contrário. O criminoso utiliza informações verdadeiras para tornar a mentira mais convincente.
Também faz sentido reduzir a quantidade de informações publicamente disponíveis sobre a posse de criptomoedas. Exibir patrimônio, mostrar carteiras físicas nas redes sociais ou divulgar detalhes sobre como os ativos são armazenados pode transformar uma informação financeira privada em um mapa para possíveis atacantes.
Para usuários com valores relevantes em criptomoedas, recursos como carteiras protegidas por passphrase, configurações com múltiplas assinaturas e estratégias de separação dos ativos podem acrescentar camadas importantes de proteção.
O vazamento mostra um problema que nenhuma hardware wallet resolve
A Trezor pode continuar tecnicamente segura enquanto o proprietário dela se torna o alvo. Essa talvez seja a principal lição do incidente.
Hardware wallets foram criadas para manter chaves privadas longe de computadores e serviços potencialmente comprometidos. Mas nenhuma carteira física consegue impedir que uma transportadora guarde dados que deveria ter apagado anos atrás.
O vazamento de dados da Trezor mostra como a segurança de criptomoedas depende de muito mais do que proteger uma seed phrase.
Existe toda uma cadeia envolvendo fabricante, loja, pagamento, logística, endereço e informações pessoais.
Quando uma dessas peças falha, o criminoso talvez não consiga atacar diretamente a carteira. Mas passa a saber exatamente quem tentar enganar. E, neste caso, até onde encontrar essa pessoa.
