Trezor confirma vazamento de dados de 13 mil clientes, incluindo usuários no Brasil

A Trezor, fabricante de carteiras físicas para criptomoedas, confirmou que uma violação de segurança em sua parceira de logística ShipMonk expôs informações pessoais de mais de 13 mil clientes. O incidente inclui compradores no Brasil e envolve dados como nomes, endereços residenciais, telefones e e-mails.

Inicialmente, a investigação indicava que o vazamento estaria limitado a pedidos realizados em determinados países nos últimos 90 dias. Novas informações, porém, apontam que compras mais antigas também podem ter sido afetadas.

Segundo a Trezor, 11.742 clientes dos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal tiveram nomes, endereços de e-mail, números de telefone e endereços de entrega expostos. Esse grupo realizou compras entre 10 de maio e 8 de agosto.

Outros 1.947 clientes tiveram nomes, cidades onde residem e endereços de e-mail comprometidos. Parte desses pedidos pode ter sido realizada antes de 10 de maio. A Trezor afirmou que ainda está verificando essas informações e o período exato da exposição junto à ShipMonk.

A ShipMonk é responsável por armazenar e enviar produtos da Trezor e, por isso, coleta as informações necessárias para processar as entregas. A parceira está sujeita à política de retenção de 90 dias da Trezor, que determina que os dados dos clientes sejam excluídos ou anonimizados dentro desse período após sua coleta para um pedido.

A Trezor destacou que seus próprios sistemas e dispositivos permanecem seguros. Portanto, o incidente não significa que as carteiras de hardware ou as criptomoedas armazenadas pelos clientes tenham sido comprometidas.

O principal risco imediato apontado pela empresa é o aumento de campanhas de phishing. Com informações como nome, telefone, e-mail e histórico relacionado à compra de uma carteira de criptomoedas, criminosos podem criar mensagens mais convincentes se passando pela própria Trezor, bancos ou corretoras de criptoativos.

A exposição de endereços residenciais também representa um risco adicional. Proprietários de criptomoedas já foram alvo de roubos, invasões e sequestros em diferentes países, incluindo casos registrados na França e nos Estados Unidos. Uma base capaz de associar identidades e endereços físicos a compradores de hardware wallets pode, portanto, ter valor para criminosos interessados em ataques fora do ambiente digital.

A empresa informou que entrou em contato diretamente com os clientes afetados e recomendou que qualquer comunicação recebida seja comparada com informações divulgadas por seus canais oficiais. Também reforçou que usuários nunca devem inserir o backup de suas carteiras em sites nem compartilhá-lo com terceiros.

Segundo a Trezor, esta é a primeira vez desde sua fundação, em 2013, que uma violação expõe números de telefone e endereços de entrega de seus clientes. A companhia reconheceu a gravidade dos possíveis riscos e pediu desculpas aos afetados.

Após o incidente, a fabricante também informou que está priorizando o desenvolvimento do recurso "Anonymous Delivery", projetado para permitir compras sem associar diretamente a identidade e o endereço residencial do cliente ao pedido.

Nesse modelo, o comprador utilizará um apelido ou identificador no lugar do nome real e receberá o produto em um armário automatizado de entregas, em vez de sua residência. O pacote será enviado sem a marca da Trezor e com identificação genérica do remetente, enquanto a transportadora utilizará e-mail ou SMS apenas para fornecer o PIN necessário para retirar a encomenda.

A Trezor prevê lançar o Anonymous Delivery na União Europeia em setembro e nos Estados Unidos até o final de 2026.