Vazamento Trezor: 67 mil clientes expostos por falha logística
A fabricante de carteiras físicas de criptomoedas Trezor confirmou que 67 mil clientes nos Estados Unidos tiveram dados pessoais expostos após uma violação nos sistemas da ShipMonk, empresa de logística responsável por seus envios. O incidente, revelado em agosto de 2026, escancara um risco que vai muito além do vazamento em si: a exposição de informações sensíveis que podem alimentar campanhas de phishing, engenharia social e até ameaças físicas.
Segundo a notícia original do CyberSecBrazil, os dados comprometidos incluem nomes, e-mails, telefones, endereços de entrega e números de pedidos realizados entre novembro de 2019 e agosto de 2021. Embora a Trezor afirme que as carteiras e os ativos não foram afetados, o estrago para a privacidade dos usuários é imenso.
O que aconteceu: retenção indevida e falha de terceiro
O caso da Trezor é um exemplo clássico de risco de supply chain. A empresa afirma que solicitou repetidamente à ShipMonk a exclusão dos dados após 90 dias, conforme sua política interna, e recebeu confirmações por escrito de que o procedimento havia sido realizado. Na prática, as informações continuaram armazenadas nos sistemas da prestadora.
O ataque explorou a vulnerabilidade CVE-2026-72898, uma falha crítica de SQL Injection no Metabase com pontuação máxima de 10,0 no CVSS. Isso permitiu que invasores acessassem instâncias vulneráveis e extraíssem dados de clientes da ShipMonk, incluindo os registros da Trezor.
O grupo ShinyHunters é apontado como responsável pelo ataque, segundo a empresa de segurança blockchain Halborn. A atribuição, porém, não foi confirmada publicamente pela Trezor. Independentemente do autor, o estrago está feito: milhares de pessoas agora têm seus dados nas mãos de criminosos.
Por que isso é grave para você
Você pode não ser cliente da Trezor, mas este incidente serve de alerta para todos. Dados vazados são combustível para golpes. Com nome, e-mail, telefone e endereço físico, criminosos podem:
- Criar e-mails de phishing altamente personalizados, se passando pela Trezor ou por outras empresas.
- Realizar ligações fraudulentas (vishing) para extrair informações adicionais, como senhas ou frases-semente.
- Enviar correspondências físicas com malware ou tentativas de extorsão.
- Planejar ataques direcionados, já que sabem que a vítima possui uma carteira de criptomoedas.
A própria Trezor reconheceu que os dados vazados podem representar riscos à segurança física dos clientes. Imagine um criminoso sabendo seu endereço e que você guarda criptomoedas em casa. Esse é o nível de exposição.
O efeito cascata: phishing, smishing e ransomware
O vazamento da Trezor não é um evento isolado. Ele alimenta um ecossistema de crimes digitais que está em plena expansão. Em 2026, vimos um aumento expressivo de ataques de ransomware via SMS e smishing, como detalhamos em nosso artigo Ransomware em 2026: Ataques por SMS e Smishing Exigem Defesa Imediata. Os criminosos estão cada vez mais sofisticados, usando informações vazadas para tornar suas mensagens mais convincentes.
Além disso, grupos como o ShinyHunters têm histórico de vender dados em fóruns clandestinos, onde outros criminosos os compram para lançar campanhas em massa. Isso significa que, mesmo que você não seja alvo imediato, seus dados podem circular por meses ou anos.
Outro exemplo recente do poder destrutivo de dados vazados é o caso dos hackers da Coreia do Norte que roubaram o próprio governo. A lição é clara: ninguém está imune, e a proteção de dados é uma responsabilidade contínua.
O risco silencioso do computador roubado
Enquanto o vazamento da Trezor expõe dados por falha de terceiros, outro cenário comum pode ser igualmente devastador: o roubo ou furto de um notebook ou computador. Se o seu dispositivo cair em mãos erradas, todas as informações armazenadas localmente – e-mails, documentos, fotos, senhas salvas no navegador – ficam acessíveis.
Muitos usuários não protegem seus dispositivos com criptografia de disco ou senhas fortes de login. Um notebook desprotegido é um tesouro para criminosos, que podem extrair dados diretamente ou usar as credenciais salvas para acessar contas online. E se o dispositivo estiver conectado a serviços de nuvem, o invasor pode burlar a autenticação em dois fatores se ela não estiver ativa.
Para mitigar esse risco, siga estas medidas imediatas:
- Ative a criptografia de disco (BitLocker no Windows, FileVault no macOS).
- Use senha forte de login e nunca deixe o dispositivo desbloqueado em locais públicos.
- Habilite a autenticação em dois fatores em todas as contas importantes.
- Faça backups regulares em local seguro, para poder apagar remotamente o dispositivo se necessário.
- Anote o número de série e registre o dispositivo em serviços como o Prey ou Find My Device.
Como se proteger agora
Diante de um vazamento como o da Trezor, a primeira ação é verificar se seus dados foram expostos. A Kzarka oferece um serviço gratuito de consulta de vazamentos: basta inserir seu e-mail ou telefone para saber se suas informações estão circulando em listas criminosas. Se estiverem, você recebe orientações imediatas para reduzir os danos.
Além disso, adote estas práticas de segurança:
| Ação | Por que é importante | Frequência recomendada |
|---|---|---|
| Monitorar contas e extratos | Detectar transações ou acessos não autorizados rapidamente | Semanal |
| Trocar senhas de contas sensíveis | Se a senha antiga vazou, ela pode ser usada em ataques de força bruta | A cada 3 meses ou após incidente |
| Ativar autenticação em dois fatores | Adiciona uma camada extra de segurança, mesmo se a senha for comprometida | Imediatamente em todas as contas |
| Desconfiar de e-mails e SMS suspeitos | Phishing e smishing são as portas de entrada para golpes e ransomware | Sempre |
Lembre-se: criminosos usam dados vazados para criar mensagens que parecem legítimas. Nunca clique em links ou baixe anexos de remetentes desconhecidos, mesmo que a mensagem mencione seus dados pessoais.
FAQ: Perguntas frequentes sobre o vazamento Trezor
1. Meus dados podem ter sido expostos mesmo se eu não sou cliente da Trezor?
Sim, se você comprou produtos da Trezor entre novembro de 2019 e agosto de 2021 e o envio foi feito pela ShipMonk nos EUA, seus dados podem estar entre os 67 mil afetados. Além disso, mesmo que você não seja cliente, seus dados podem estar em outros vazamentos não relacionados. Use a Kzarka para verificar.
2. O que devo fazer se meus dados vazaram?
Primeiro, mantenha a calma. Troque as senhas das contas associadas ao e-mail vazado, ative a autenticação em dois fatores e monitore suas contas bancárias e de cartão. Fique atento a e-mails e mensagens suspeitas. Considere congelar seu crédito, se disponível no seu país.
3. Como posso evitar que meus dados sejam expostos por terceiros no futuro?
Você não pode controlar totalmente a segurança de empresas terceirizadas, mas pode minimizar o impacto: forneça apenas os dados estritamente necessários em cadastros, use e-mails secundários para compras online e revise as políticas de privacidade. E, claro, monitore regularmente se seus dados aparecem em vazamentos com a Kzarka.
Agir rápido é a chave. Não espere ser a próxima vítima. Verifique agora se seus dados vazaram na Kzarka e assuma o controle da sua identidade digital.