Trezor sofre dois vazamentos em semanas: o que muda para quem tem hardware wallet
Falhas em fornecedores da Trezor expuseram dados de centenas de milhares de clientes. Entenda os riscos reais e como se proteger.
A fabricante de carteiras de hardware Trezor confirmou, pela segunda vez em poucas semanas, que um de seus fornecedores terceirizados foi comprometido por hackers. Desta vez, o alvo foi a Brevo, empresa de marketing digital que a Trezor usa para disparar newsletters. O resultado: cerca de 347 mil e-mails de phishing foram enviados a clientes da marca, contendo links maliciosos que simulavam alertas de segurança legítimos.
O episódio expõe uma fragilidade estrutural que vai muito além de uma empresa específica. Ele revela como o elo mais fraco da segurança cripto frequentemente não está na blockchain ou no hardware, mas nos fornecedores de serviço que orbitam ao redor deles.
Como o ataque funcionou na prática
Segundo a própria Trezor, os hackers conseguiram acessar 138 contas dentro da plataforma da Brevo. A partir delas, dispararam centenas de milhares de mensagens com aparência oficial da fabricante. Um dos assuntos dos e-mails dizia: “Critical Security Alert: STM32 Entropy Vulnerability”, linguagem técnica o suficiente para parecer crível a um público familiarizado com criptografia.
O link contido no e-mail direcionava a vítima para o download de um aplicativo falso. Esse app solicitava a senha de backup da carteira. Com essa informação em mãos, um invasor pode drenar todos os fundos da wallet de forma irreversível na blockchain.
A Brevo reconheceu o incidente e atribuiu o problema a uma falha de escopo no controle de acesso. Em termos simples: os hackers obtiveram permissões que deveriam estar restritas e conseguiram alcançar organizações além das suas contas originais. É o tipo de erro de configuração que, em segurança da informação, costuma ser classificado como falha de menor complexidade, mas de altíssimo impacto.
Segundo vazamento em semanas levanta questões sobre cadeia de fornecedores
O incidente com a Brevo não foi isolado. Semanas antes, a Trezor já havia alertado clientes sobre um vazamento em outro parceiro, a ShipMonk, empresa de logística responsável pelos envios físicos das carteiras. Naquele caso, nomes, telefones, endereços de e-mail e endereços postais de pelo menos 81 mil compradores foram expostos.
A combinação dos dois vazamentos é particularmente perigosa. Com dados de contato físico e digital em mãos, criminosos podem executar ataques coordenados. Já existem relatos de cartas físicas enviadas pelo correio a clientes da Trezor, contendo QR codes que direcionam para páginas falsas projetadas para roubar senhas de carteiras.
Esse tipo de ataque, que combina engenharia social digital e física, é conhecido no ecossistema cripto como “wrench attack”, uma referência ao uso de coerção física para extrair senhas. Quanto mais dados pessoais um criminoso acumula sobre a vítima, mais sofisticada e convincente se torna a abordagem, como já discutimos em nossa cobertura de cibersegurança.
Trezor não foi hackeada, mas isso importa pouco para o usuário
A Trezor fez questão de comunicar que nenhum de seus produtos, carteiras ou sistemas internos foi comprometido diretamente. Do ponto de vista técnico, isso é relevante. A integridade do firmware e do hardware permanece intacta.
Na prática, porém, a distinção entre “a Trezor foi hackeada” e “os fornecedores da Trezor foram hackeados” é irrelevante para o cliente que perdeu fundos ao clicar num link de phishing enviado por um canal oficial da marca. O risco se materializa da mesma forma.
Esse padrão de ataques à cadeia de suprimentos tem se tornado cada vez mais comum no setor de tecnologia como um todo. Na indústria cripto, as consequências são amplificadas pela irreversibilidade das transações em blockchain. Não existe estorno. Não existe suporte ao cliente que desfaça a transferência. Como analisamos em matérias anteriores sobre segurança cripto, a responsabilidade de custódia recai integralmente sobre o usuário.
O que o episódio significa para quem usa hardware wallets
O caso da Trezor reforça uma lição que o mercado cripto continua aprendendo da pior forma: a segurança de uma carteira de hardware não termina no dispositivo físico. Ela depende de toda a cadeia de empresas envolvidas na venda, no envio e na comunicação com o cliente.
A Trezor informou que está reavaliando seus relacionamentos com fornecedores e alertou clientes de que seus endereços de e-mail podem ser utilizados em novos ataques de phishing no futuro. Ou seja, o risco permanece ativo mesmo após a contenção do incidente.
Para o investidor, algumas medidas práticas se impõem. Nunca inserir a seed phrase (senha de recuperação) em nenhum aplicativo, site ou formulário que não seja o próprio dispositivo físico. Desconfiar de qualquer comunicação que solicite ação urgente. E considerar o uso de e-mails exclusivos para contas cripto, reduzindo a superfície de ataque caso um fornecedor seja comprometido.
O episódio também levanta uma reflexão mais ampla sobre a tese de autocustódia. Hardware wallets são, por definição, a forma mais segura de armazenar criptomoedas. Mas a segurança do dispositivo em si é apenas uma camada. O ecossistema ao redor, formado por empresas tradicionais de marketing, logística e atendimento, segue vulnerável aos mesmos tipos de ataques que afetam qualquer outra indústria. É um lembrete de que a cibersegurança no universo cripto exige vigilância contínua em todas as frentes.
A Trezor não informou se algum cliente teve fundos efetivamente roubados como resultado dos ataques de phishing. Mas com 347 mil e-mails disparados e dados pessoais de mais de 81 mil compradores circulando, a probabilidade de que alguém tenha sido vítima é estatisticamente alta.
Este conteúdo é informativo e educacional e não constitui recomendação de investimento. Rentabilidade passada não é garantia de resultados futuros.
