Dados de Clientes da Trezor Expostos em Violação de Parceiro de Envio

Uma violação de dados em um dos provedores de envio da Trezor expôs nomes, números de telefone, endereços de e-mail e endereços residenciais de milhares de clientes do fabricante de carteiras de hardware, a empresa revelou na quinta-feira.

A ShipMonk, que armazena e envia os produtos da Trezor, informou a empresa na segunda-feira que uma parte não autorizada acessou sistemas que continham dados de clientes. Cerca de 11.742 clientes tiveram seus dados completos obtidos e outros 1.947 tiveram nomes, cidades e endereços de e-mail expostos, totalizando 13.689. Os afetados fizeram pedidos entre 10 de maio e 8 de agosto e os receberam nos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália ou Portugal.

A Trezor disse que seus próprios sistemas não foram comprometidos e que nenhum dispositivo, chave privada ou backup de carteira foi tocado. Ela atribuiu o escopo limitado a uma política que exige que os parceiros excluam ou anonimizem os dados dos pedidos 90 dias após a entrega, o que significava que pedidos mais antigos não eram mais mantidos. Clientes que não receberam um e-mail de notificação não são afetados, disse. Em 13 anos, a empresa acrescentou, nunca antes teve uma violação expondo números de telefone e endereços de entrega de clientes.

Phishing e “ataques de chave inglesa”

Depois que cerca de 272.000 clientes da Ledger tiveram nomes, endereços e números de telefone publicados, alguns começaram a receber pedidos de resgate com ameaças de violência. Um deles disse ao Decrypt que recebia vários e-mails e mensagens de texto por dia, enquanto outros relataram posteriormente receber chamadas de phishing de pessoas que falavam como se as conhecessem.

Essas ameaças agora têm mais companhia, com a CertiK verificando 52 ataques físicos a detentores de criptomoedas em todo o mundo no primeiro semestre de 2026, contra 39 no ano anterior, e invasões de residências superando sequestros como o método mais comum. A Chainalysis estimou o valor roubado em mais de US$ 30 milhões no mesmo período e disse que o ano estava no caminho para ser o pior já registrado.

Este não é o primeiro incidente desse tipo a atingir a cadeia de fornecedores de carteiras de hardware. A Ledger divulgou uma violação em seu próprio parceiro de comércio eletrônico, a Global-e, em janeiro, e empresas de carteiras de hardware alertaram para um aumento de phishing neste mês, enquanto as perdas com a exploração da Coldcard se aproximavam de US$ 130 milhões.

A notícia chega enquanto os usuários de carteiras de hardware foram abalados pela recente exploração da Coldcard. Parte dos 233.000 BTC que saíram das carteiras de detentores de longo prazo em torno da violação da Coldcard, no valor de cerca de US$ 15 bilhões, veio de proprietários de Ledger e Trezor, e não de clientes da Coldcard, migrando para configurações de múltiplas assinaturas após observar a exploração se desenrolar, de acordo com a Casa.

A Trezor disse que está antecipando uma opção de Entrega Anônima usando retirada em armários, embalagem neutra, dados genéricos do remetente e exclusão automática de identificadores de envio, visando a União Europeia até setembro e os Estados Unidos até o final do ano.