Uma violação de dados na ShipMonk, uma das empresas de logística que envia carteiras de hardware para a Trezor, expôs informações pessoais pertencentes a aproximadamente 13.689 clientes. A violação de dados da ShipMonk não afetou os próprios servidores ou dispositivos da Trezor, diz a empresa, mas vazou nomes, endereços de e-mail, números de telefone e, para a maioria das vítimas, endereços residenciais de entrega coletados entre 10 de maio e 8 de agosto de 2026.
Summary
Principais pontos
- A ShipMonk informou a Trezor na segunda-feira, 10 de agosto de 2026, que uma parte não autorizada havia acessado sistemas que armazenavam dados de pedidos de clientes.
- Cerca de 11.742 clientes tiveram seus nomes completos, e-mails, números de telefone e endereços de entrega expostos; outros 1.947 tiveram apenas nomes, cidades e e-mails vazados.
- A violação afeta pedidos feitos entre 10 de maio e 8 de agosto de 2026, nos EUA, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.
- Os dispositivos Trezor e os sistemas internos não foram comprometidos, e os pedidos atendidos pela Amazon não foram afetados.
- A Trezor planeja lançar uma opção de entrega anônima na UE até setembro de 2026 e nos EUA até o final de 2026.
Violação de Dados da ShipMonk Expõe Dados de Clientes da Trezor
O problema começou quando a ShipMonk, que armazena e envia pedidos da Trezor nos EUA, Reino Unido e vários outros mercados, descobriu acesso não autorizado aos seus sistemas e repassou a notícia à Trezor em 10 de agosto de 2026. A Trezor chamou isso de “notícia difícil” em um comunicado publicado no X, dizendo que um provedor de envio havia sofrido uma violação que expôs dados sensíveis de pedidos. A empresa enquadrou isso como um incidente inteiramente ligado a um fornecedor terceirizado, e não como uma falha de sua própria infraestrutura.
Quais Informações Foram Expostas
Os dados obtidos incluem nomes completos, números de telefone, endereços de e-mail e, para a maioria das vítimas, endereços físicos de entrega. Essa combinação é importante porque dá aos golpistas tudo o que precisam para criar tentativas de phishing convincentes e personalizadas — não apenas um disparo genérico de e-mails, mas mensagens, ligações ou cartas que fazem referência a um pedido real e a um endereço real.
Quantos Clientes Foram Afetados
De acordo com a própria divulgação da Trezor, 11.742 clientes tiveram o conjunto completo de dados exposto: nome, e-mail, número de telefone e endereço de entrega. Outros 1.947 clientes sofreram uma exposição mais limitada, restrita a nome, cidade e e-mail, sem um endereço de entrega associado. Somados, isso coloca o total em cerca de 13.689 pessoas, número que tanto a CoinDesk quanto o The Block arredondaram para aproximadamente 14.000 em sua cobertura do incidente. A Trezor afirmou que ainda está verificando se parte desse grupo com exposição parcial inclui pedidos mais antigos que ficam fora da janela declarada de maio a agosto, e planeja atualizar suas conclusões à medida que a investigação da ShipMonk avança.
Dispositivos Trezor Continuam Seguros, Mas o Risco de Phishing Aumenta
O hardware e os sistemas internos da Trezor não foram tocados nessa violação, e a empresa tem sido direta sobre essa distinção. “Nossos sistemas não foram comprometidos, e o seu dispositivo Trezor está seguro“, disse a empresa em seu comunicado aos clientes. Essa garantia é importante para quem está preocupado especificamente com a segurança da carteira, já que os dados vazados não podem ser usados para acessar fundos ou contornar a criptografia em nível de dispositivo.
O que eles podem ser usados é para engenharia social. Esse tipo de exposição de dados de clientes da Trezor entrega aos golpistas nomes reais, números de telefone e endereços que podem ser incorporados em comunicações falsas, porém críveis.
Por Que os Atacantes Podem Mirar nas Vítimas em Seguida
A Trezor alertou que os clientes afetados podem agora ver mais tentativas de phishing sofisticadas por e-mail, telefone ou correio, com golpistas potencialmente se passando por bancos, corretoras de criptomoedas ou pela própria Trezor. O conselho da empresa é simples: desconfie de qualquer mensagem que exija ação imediata, confira qualquer coisa incomum com o blog oficial e os canais sociais da Trezor, e nunca digite uma frase de backup da carteira em um site ou a compartilhe com qualquer pessoa.
É por isso que o risco de phishing após uma violação tende a durar mais do que as manchetes iniciais. Segundo a CoinDesk, pessoas cujos dados são expostos em violações como esta permanecem vulneráveis por anos, já que registros logísticos roubados são revendidos e reutilizados em novos golpes muito tempo depois que o incidente original sai de cena. A CoinDesk citou casos anteriores em que extorsionários usaram endereços residenciais vazados para exigir pagamentos de resgate de US$ 700 a US$ 1.000, e até enviaram dispositivos de hardware falsos diretamente às vítimas. O veículo também observou que gerenciar as consequências legais, de remediação e de reputação de um grande vazamento de dados de clientes foi estimado em mais de US$ 33 milhões para empresas de hardware em casos comparáveis.
A Trezor disse à CoinDesk que ainda não tem casos confirmados de os dados expostos terem sido publicados, vendidos ou usados em um golpe ativo, e afirma não estar ciente de nenhuma tentativa de invasão ligada ao incidente até agora. Clientes que compraram pela Amazon não foram afetados, já que esses pedidos passam por um parceiro de fulfillment separado.
Como a Trezor Está Respondendo
Todo cliente cujos dados foram expostos já recebeu um e-mail direto de [email protected] explicando o que aconteceu. A Trezor deixou claro que o silêncio aqui significa segurança: se você não recebeu esse e-mail, suas informações não fizeram parte desta violação.
Notificações e Correções de Segurança da ShipMonk
Por sua vez, a ShipMonk afirma ter bloqueado os sistemas afetados e reforçado sua segurança após o incidente, e agora está trabalhando diretamente com a Trezor para determinar exatamente o que aconteceu e quais registros foram acessados. A equipe de suporte ao cliente da Trezor continua disponível para qualquer pessoa com dúvidas persistentes sobre se foi afetada ou quais passos tomar em seguida.
Regras de Retenção de Dados e o Avanço em Direção à Entrega Anônima
Um dos motivos pelos quais os números não foram maiores se deve mais à política do que à sorte. A Trezor aplica uma regra rígida de retenção e anonimização de dados de 90 dias com seus parceiros de fulfillment, o que significa que a ShipMonk é contratualmente obrigada a excluir ou anonimizar dados de pedidos três meses após a entrega. Essa janela é projetada para cobrir o ciclo de vida realista de um pedido — envio, devoluções, reembolsos — sem reter informações de clientes indefinidamente. Por causa dessa política, pedidos mais antigos já haviam sido removidos dos sistemas da ShipMonk quando a violação ocorreu, o que limitou o conjunto de registros expostos.
Olhando para frente, a Trezor está desenvolvendo uma solução mais permanente. A empresa planeja lançar uma entrega anônima Trezor que os clientes poderão usar para receber carteiras de hardware sem fornecer dados de entrega identificáveis — contando com um checkout dedicado, retirada em armários, embalagem neutra e informações genéricas do remetente, com identificadores de envio automaticamente excluídos após a entrega. Essa opção é esperada na UE até setembro de 2026 e nos EUA até o final de 2026. Enquanto isso, a Trezor está apontando os clientes para soluções intermediárias: usar um endereço de e-mail anônimo no checkout, pagar com criptomoedas ou cartões digitais descartáveis em vez de um cartão de crédito pessoal, e usar uma caixa postal sempre que possível, embora observe que o USPS ainda exigirá identificação e armazenará seus próprios dados nesse caso.
Um Padrão Emergente Entre Fabricantes de Carteiras de Hardware
A Trezor chamou este o primeiro vazamento em seus 13 anos de história a expor especificamente números de telefone e endereços de entrega de clientes, embora a empresa já tenha enfrentado incidentes de dados antes. Segundo a CoinDesk, um portal de suporte terceirizado ligado à empresa-mãe da Trezor, a Satoshi Labs, foi violado em janeiro de 2024, afetando cerca de 66.000 pessoas, e outro incidente em abril de 2022 comprometeu dados pertencentes a mais de 106.000 clientes da Trezor. Em nenhum dos casos o firmware dos dispositivos ou a criptografia em dispositivo foram violados remotamente.
A concorrente Ledger, fabricante de carteiras de hardware, enfrentou problemas semelhantes. A CoinDesk informou que a Ledger sofreu uma violação em janeiro ligada à parceira de e-commerce terceirizada Global-e, além de uma violação muito maior em 2020 que atingiu quase 300.000 usuários e foi seguida por uma campanha de phishing envolvendo dispositivos Ledger falsos enviados pelo correio às vítimas. O tema recorrente em ambas as empresas aponta para uma vulnerabilidade mais ampla: mesmo quando a própria criptografia do fabricante da carteira permanece inabalável, os parceiros de fulfillment e logística que lidam com o envio físico continuam sendo um alvo fácil.
Esse risco está aumentando em todo o setor. A CoinDesk citou a estimativa da empresa de cibersegurança SentinelOne de que as violações de dados globais aumentaram 17% em comparação com 2025, com uma média de cerca de 2.090 ataques por semana em todo o mundo, e atividade de violação crescendo cerca de 3% mês a mês desde janeiro. Separadamente, a CoinDesk observou que os detentores de criptomoedas enfrentam um perigo físico crescente ligado a dados pessoais vazados, apontando para números da Certik que mostram que ataques de coerção presencial somaram US$ 124 milhões apenas na primeira metade deste ano — embora nem todos esses casos estejam ligados diretamente a uma violação de dados específica.
Perguntas Frequentes
O que é a ShipMonk e como ela obteve minhas informações?
A ShipMonk atua como a fornecedora de logística responsável pelo armazenamento e despacho dos envios da Trezor. Para concluir a entrega de encomendas, a empresa precisa de identificação do cliente, detalhes de localização, número de contato e endereço de e-mail — esses dados são mantidos exclusivamente para fins de fulfillment.
Quais dados específicos foram expostos na violação?
Os dados expostos incluem nomes completos, números de telefone, endereços de e-mail e endereços de entrega dos clientes para o grupo maior de vítimas. Um grupo menor teve apenas seu nome, cidade e endereço de e-mail expostos, sem um endereço de entrega.
Como posso saber se fui afetado por essa violação?
Se você recebeu um e-mail de [email protected] sobre o incidente de segurança, seus dados fizeram parte da exposição. Se nenhum e-mail desse tipo chegou, a Trezor afirma que você não foi afetado.
O que devo fazer se meus dados foram expostos?
Mantenha-se atento a tentativas de phishing por e-mail, telefone ou correio, verifique qualquer comunicação suspeita nos canais oficiais da Trezor e nunca insira ou compartilhe uma frase de backup de carteira com ninguém, online ou offline.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Quem é a ShipMonk e por que ela tinha meus dados?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A ShipMonk é a parceira de logística que armazena e envia os pedidos da Trezor. Para entregar uma encomenda, ela precisa do nome, endereço, número de telefone e endereço de e-mail do cliente — esse é o único motivo pelo qual mantém quaisquer dados pessoais.”}},{“@type”:”Question”,”name”:”Quais dados específicos foram expostos na violação?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os dados expostos incluem nomes completos, números de telefone, endereços de e-mail e endereços de entrega dos clientes para o grupo maior de vítimas. Um grupo menor teve apenas seu nome, cidade e endereço de e-mail expostos, sem um endereço de entrega.”}},{“@type”:”Question”,”name”:”Como posso saber se fui afetado por essa violação?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Se você recebeu um e-mail de [email protected] sobre o incidente de segurança, seus dados fizeram parte da exposição. Se nenhum e-mail desse tipo chegou, a Trezor afirma que você não foi afetado.”}},{“@type”:”Question”,”name”:”O que devo fazer se meus dados foram expostos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Mantenha-se atento a tentativas de phishing por e-mail, telefone ou correio, verifique qualquer comunicação suspeita nos canais oficiais da Trezor e nunca insira ou compartilhe uma frase de backup de carteira com ninguém, online ou offline.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
