Vazamento na ShipMonk expõe dados de 13,6 mil clientes da Trezor e amplia risco de phishing
Um incidente de segurança envolvendo a ShipMonk, empresa responsável por armazenar e enviar produtos da Trezor, expôs informações pessoais de aproximadamente 13.689 clientes. O episódio atingiu consumidores de sete países, incluindo o Brasil, e aumentou a possibilidade de golpes direcionados contra proprietários de carteiras de criptomoedas.
A Trezor esclareceu que o problema não afetou suas carteiras físicas, firmware, serviços digitais ou sistemas internos. Também não há indicação de que tenham sido acessados backups de carteiras, chaves privadas ou os ativos armazenados nos dispositivos. O principal risco está na exposição de dados capazes de identificar clientes e revelar que eles compraram uma carteira física de criptomoedas.
Quais informações foram expostas
A ShipMonk utilizava os dados para cumprir tarefas de logística, como separação, armazenamento e envio dos pedidos. Entre as informações potencialmente envolvidas estão:
– nome do cliente;
– endereço de entrega;
– número de telefone;
– endereço de e-mail;
– detalhes relacionados ao pedido;
– indicação de que a pessoa adquiriu um produto da Trezor.
A empresa informou que identificou acesso não autorizado a sistemas usados no atendimento e na operação de entregas. A comunicação sobre o incidente foi feita em 10 de agosto de 2026, conforme informado pela fabricante.
Os clientes afetados receberam notificações individualizadas pelo endereço [email protected]. Quem tiver dúvidas sobre a legitimidade da mensagem deve evitar clicar em links recebidos e confirmar a informação por canais oficiais digitados manualmente no navegador.
O grupo atingido inclui compradores dos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. A quantidade divulgada, de 13.689 pessoas, pode incluir registros com diferentes níveis de exposição. A Trezor ainda avaliava com a ShipMonk quais dados foram efetivamente acessados em cada caso.
Por que o vazamento aumenta o risco de phishing
O vazamento não entrega diretamente as chaves que controlam as criptomoedas, mas fornece aos criminosos algo igualmente valioso para iniciar um ataque: contexto. Uma mensagem genérica sobre segurança costuma despertar desconfiança. Já um contato que menciona o nome do cliente, uma compra recente, uma possível entrega ou o endereço correto pode parecer legítimo.
Golpistas podem se passar por funcionários da Trezor, transportadoras, bancos, exchanges ou empresas de tecnologia. A abordagem pode ocorrer por e-mail, SMS, ligação, aplicativos de mensagens ou até cartas enviadas ao endereço da vítima.
Entre os pretextos mais prováveis estão:
– suposto atraso ou erro na entrega;
– necessidade de confirmar o endereço;
– alerta falso sobre uma vulnerabilidade;
– exigência de atualização do dispositivo;
– bloqueio fictício da conta;
– pedido de validação de uma transação;
– cobrança de taxa para liberar uma remessa.
O objetivo final costuma ser obter a frase de recuperação da carteira, também chamada de seed ou backup, induzir a instalação de um programa malicioso ou convencer a vítima a aprovar uma transferência.
A frase de recuperação nunca deve ser compartilhada
A regra mais importante permanece válida mesmo depois do incidente: a frase de recuperação jamais deve ser digitada em sites, formulários ou aplicativos apresentados por terceiros. Ela também não deve ser enviada por e-mail, telefone, mensagem ou compartilhada com alguém que se identifique como suporte.
Nenhum atendimento legítimo precisa dessa informação. Quem obtém a frase pode restaurar a carteira em outro dispositivo e movimentar os ativos. Portanto, uma carteira pode continuar funcionando normalmente e ainda assim ser esvaziada por causa de engenharia social.
Também é perigoso aprovar uma transação apenas porque alguém afirma que ela serve para “proteger” os fundos. Transferências em blockchain normalmente são irreversíveis, e a confirmação deve ser feita somente pelo próprio usuário, após verificar cuidadosamente o endereço e o valor.
Como reconhecer uma tentativa de fraude
Alguns sinais devem ser tratados como indícios fortes de golpe:
– pressão para agir imediatamente;
– ameaça de perda de acesso ou bloqueio;
– pedido de senha, seed ou código de autenticação;
– links encurtados ou domínios com grafia parecida;
– solicitação para instalar ferramentas de acesso remoto;
– promessa de reembolso ou recuperação de fundos;
– mensagens com erros incomuns ou remetentes suspeitos;
– cobrança inesperada ligada a uma entrega.
Informações verdadeiras na mensagem não comprovam sua autenticidade. O criminoso pode ter obtido nome, endereço e telefone justamente no vazamento. Por isso, o cliente deve iniciar o contato por meios oficiais, sem responder diretamente à mensagem recebida.
Medidas recomendadas para clientes brasileiros
Quem recebeu uma notificação deve redobrar a atenção durante as próximas semanas. É recomendável ativar autenticação em dois fatores no e-mail associado à compra, usar uma senha exclusiva e verificar atividades de login desconhecidas.
Também é importante avisar pessoas que moram no mesmo endereço. Uma tentativa de golpe pode ser direcionada a outro residente, especialmente se o criminoso utilizar uma ligação ou uma correspondência física.
Clientes devem desconfiar de chamadas que exibam números aparentemente legítimos. A identificação do telefone pode ser falsificada. Em caso de dúvida, a ligação deve ser encerrada e o contato refeito por um canal oficial encontrado de forma independente.
No Brasil, eventuais mensagens fraudulentas podem ser preservadas como evidência, com capturas de tela, cabeçalhos de e-mail, números telefônicos e endereços utilizados. A vítima também pode comunicar o banco ou a exchange imediatamente, além de registrar a ocorrência nas autoridades competentes.
Retenção de dados e responsabilidade dos fornecedores
A Trezor informou que adota uma política de retenção de 90 dias para dados de pedidos, também aplicada a parceiros logísticos. Após o período necessário para entrega, devolução, reembolso ou substituição, as informações devem ser eliminadas ou anonimizadas.
A medida reduz a quantidade de dados disponível em caso de invasão, mas não elimina o risco. Registros antigos ainda podem permanecer em sistemas de terceiros, cópias de segurança ou ferramentas utilizadas no atendimento. A própria empresa indicou que parte dos registros expostos poderia estar relacionada a pedidos anteriores e que esse aspecto ainda era analisado.
O caso mostra que a segurança não termina no ambiente da fabricante. Transportadoras, operadores de armazenamento, plataformas de atendimento e prestadores de tecnologia também podem armazenar dados sensíveis. Cada elo da cadeia amplia a superfície de ataque.
O que empresas podem aprender com o incidente
Organizações que terceirizam logística devem mapear exatamente quais informações cada fornecedor recebe, por quanto tempo elas permanecem armazenadas e quem consegue acessá-las. Também devem exigir autenticação forte, registros de auditoria, segregação de permissões e comunicação rápida em caso de incidente.
A minimização de dados é igualmente importante. Se a transportadora não precisa manter determinada informação após a entrega, o registro deve ser apagado ou anonimizado. Contratos precisam definir responsabilidades, prazos de notificação, testes de segurança e procedimentos para eliminação de cópias.
O episódio reforça uma lição essencial: o valor de um dado não depende apenas de seu conteúdo isolado. Nome, endereço e telefone podem parecer informações comuns, mas se tornam muito mais sensíveis quando associados à compra de um produto destinado a proteger patrimônio financeiro.
A segurança técnica das carteiras permanece um fator importante, mas não substitui a vigilância do usuário. Neste caso, o caminho mais provável para o roubo de ativos não passa por quebrar a criptografia do dispositivo, e sim por convencer a vítima a entregar voluntariamente a informação ou autorizar uma operação maliciosa.