Violação de dados de parceiro de envio expõe informações de 14.000 clientes da Trezor

Quase 14.000 compradores da Trezor tiveram seus nomes e dados de contato roubados após a ShipMonk, parceira de envio da fabricante de carteiras de hardware, ter sido hackeada. 

As pessoas afetadas agora enfrentam um risco maior de phishing e, em alguns casos, de roubo em suas residências, como já foi constatado por usuários franceses.

Que detalhes foram revelados no vazamento da Trezor? 

A Trezor informou, por meio de uma postagem em seu blog , que tomou conhecimento da violação dos sistemas que armazenavam seus dados de pedidos quando a ShipMonk compartilhou a informação na segunda-feira, 10 de agosto. 

Especificamente, os pedidos enviados entre 10 de maio e 8 de agosto foram afetados, a infraestrutura da Trezor não foi atingida e as carteiras dos usuários permanecem seguras. 

A empresa informou que 11.742 pessoas tiveram seus nomes, endereços de e-mail, números de telefone e endereços de entrega coletados, e outras 1.947 tiveram apenas seus nomes, cidades e endereços de e-mail coletados. Isso eleva o total acumulado para 13.689 vítimas. 

A Trezor revelou que os compradores eram de sete países: Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. 

Os danos foram ligeiramente minimizados devido à política da ShipMonk de excluir ou anonimizar os registros de pedidos três meses após a entrega. A Trezor afirmou que os clientes que compraram pela Amazon não foram afetados, pois esses pedidos foram processados por um canal de distribuição diferente.

A empresa já havia sofridodentsemelhantes no passado, mas a Trezor afirmou que este foi o primeiro ataque a expor números de telefone e endereços de entrega de clientes. O portal de suporte de terceiros da empresa foi invadido em janeiro de 2024, afetando 66.000 usuários, e um incidente separado em 2022 afetou mais de 106.000.  

Como ocorreu o ataque hacker à Trezor? 

A ShipMonk afirmou que os atacantes se aproveitaram de uma falha no Metabase, uma plataforma de análise que utiliza. O próprio Metabase divulgou publicamente o problema em 6 de agosto. 

A falha era uma vulnerabilidade crítica de injeção de SQL de dia zero que concedia acesso de administrador aos invasores, e a mesma campanha atingiu outras empresas, incluindo a fabricante de laptops Framework e a empresa de criação de formulários Tally. 

Desde então, apesar da Trezor afirmar não ter provas de que os registros roubados tenham sido publicados, vendidos ou usados em qualquer golpe até o momento, ShipMonk vem recebendo e-mails de extorsão do grupo ShinyHunters.

A Ledger, principal concorrente da Trezor, sofreu uma violação de segurança em 2020 que expôs dados de centenas de milhares de usuários e, como Cryptopolitan relatado, golpistas ainda enviavam cartas falsas com códigos QR maliciosos para proprietários de dispositivos Ledger, supostamente sobre uma "Atualização de Segurança de Resistência Quântica", até maio de 2026. A Ledger divulgou um vazamento separado por meio de sua processadora de pagamentos, a Global-e, em janeiro.

Preocupantemente, criminosos começaram a usar dados pessoais vazados para escolher alvos de sequestros e invasões domiciliares com o objetivo de forçar as vítimas a entregar suas criptomoedas. A Chainalysis relatou que mais de US$ 30 milhões foram roubados em ataques violentos no primeiro semestre de 2026, e a tracé de que o valor ultrapasse os US$ 58 milhões registrados em todo o ano de 2025. 

A Trezor informou que os clientes afetados foram notificados por e-mail. A empresa também promete uma opção de envio mais discreta, equipada com armários, embalagem neutra e exclusãomatic dos dados de endereço após a entrega, com previsão de lançamento na União Europeia até setembro e nos Estados Unidos até o final do ano.

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.