Detalhes do incidente
Uma violação de logística de terceiros colocou milhares de compradores de carteiras de hardware Trezor em maior risco de phishing, mesmo que os sistemas e dispositivos próprios da Trezor não tenham sido comprometidos. Na segunda-feira, 10 de agosto de 2026, a fabricante de carteiras de hardware cripto Trezor informou que a ShipMonk, um de seus provedores de envio, relatou acesso não autorizado a sistemas que continham dados de pedidos de clientes.
O incidente não afetou a infraestrutura da Trezor, carteiras ou firmware, mas expôs detalhes pessoais que golpistas podem usar em campanhas de engenharia social. Segundo a Trezor, a violação afetou cerca de 13.689 clientes que receberam pedidos entre 10 de maio e 8 de agosto de 2026. Destes, 11.742 clientes tiveram exposição total de nome, endereço de e-mail, número de telefone e endereço de envio, enquanto 1.947 tiveram exposição parcial limitada a nome, cidade e e-mail.
Impacto nos clientes e riscos de engenharia social
Os embarques afetados estavam vinculados a destinos incluindo Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. A Trezor enfatizou que o escopo permaneceu relativamente contido devido à sua rigorosa política de retenção de dados de 90 dias, que também se aplica aos parceiros de atendimento. Sob essa política, os dados pessoais relacionados a pedidos são excluídos ou anonimizados 90 dias após a entrega, de modo que registros mais antigos não estavam mais nos sistemas da ShipMonk e não podiam ser acessados.
A ShipMonk é o parceiro logístico que armazena produtos Trezor e envia pacotes nos EUA, Reino Unido e vários outros países. Para completar a entrega, os transportadores exigem nome do destinatário, endereço de envio, número de telefone e e-mail, razão pela qual o provedor detinha essas informações. A Trezor afirma que apenas dados necessários para o atendimento de pacotes estavam envolvidos: nome, e-mail, número do pedido, número de telefone e endereço de envio.
O risco prático é secundário: os atacantes podem usar dados de contato e endereço vazados para criar e-mails de phishing convincentes, chamadas telefônicas falsificadas, cartas fraudulentas ou se passar por bancos, exchanges de criptomoedas ou até mesmo suporte da Trezor. Esta é a primeira vez desde a fundação da Trezor em 2013 que uma violação expôs números de telefone de clientes e endereços de envio, e a empresa chamou a situação de séria enquanto se desculpava com os afetados.
Medidas de mitigação e prevenção
Os clientes devem tratar qualquer solicitação urgente de detalhes pessoais ou informações de recuperação de carteira como hostil. Verificar mensagens inesperadas contra posts oficiais do blog da Trezor e canais sociais, e nunca inserir uma semente de backup de carteira em um site ou compartilhá-la com qualquer pessoa que alegue ser suporte.
Pagar com criptomoedas, usar e-mails descartáveis ou cartões virtuais, e preferir um P.O. Box onde prático pode reduzir a exposição futura ao fazer pedidos de hardware físico. A Trezor também disse que uma opção de "Entrega Anônima" está planejada, com checkout dedicado, retirada em lockers, embalagem neutra, detalhes de remetente genéricos e exclusão automática de identificadores de envio após a entrega, com foco na UE até setembro de 2026 e nos EUA até o final de 2026.
Operacionalmente, a Trezor relata nenhuma interrupção em produtos ou serviços. A empresa está trabalhando com a ShipMonk na investigação, diz que o parceiro securizou e endureceu os sistemas afetados, e continua a notificação direta de clientes para que as pessoas permaneçam alertas.