A Trezor revelou que informações pessoais pertencentes a 13.689 clientes foram expostas após um ator não autorizado ter obtido acesso aos sistemas operados pela sua provedora de envio, ShipMonk.
A Trezor informou em um aviso de segurança de 13 de agosto que a ShipMonk comunicou ao fabricante de carteiras de hardware, em 10 de agosto, sobre o acesso não autorizado a sistemas que continham dados de pedidos de clientes, com uma investigação sobre o incidente ainda em andamento.
A violação afetou clientes que receberam pedidos da Trezor entre 10 de maio e 8 de agosto nos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. A Trezor afirmou que os seus próprios sistemas não foram comprometidos e que as suas carteiras de hardware permanecem seguras.
Dos clientes afetados, 11.742 tiveram os seus nomes, endereços de e-mail, números de telefone e endereços de envio expostos. Outros 1.947 clientes tiveram informações parciais comprometidas, consistindo nos seus nomes, cidades e endereços de e-mail.
Os números de pedido também estavam entre as informações mantidas pela ShipMonk para entregas, de acordo com a explicação da Trezor sobre o incidente.
A ShipMonk atua como provedora de logística que armazena produtos Trezor e gerencia entregas nos EUA, Reino Unido e em vários outros mercados. A empresa de fulfillment exige nomes, endereços, números de telefone e endereços de e-mail dos clientes para processar os envios.
De acordo com a Trezor, o número de clientes expostos foi limitado pela sua política de retenção de dados de 90 dias, que também exige que os parceiros de fulfillment sigam. As informações de clientes associadas a pedidos mais antigos já haviam sido excluídas ou anonimizadas e, portanto, não estavam armazenadas nos sistemas afetados da ShipMonk.
A Trezor afirmou que o período de 90 dias foi projetado para cobrir todo o processo do pedido, incluindo entrega, devoluções, reembolsos e substituições de produtos. Assim que o período termina, as informações do cliente relacionadas à compra são excluídas ou anonimizadas porque a empresa não precisa mais do endereço ou número de telefone para fins de fulfillment.
Os clientes afetados foram notificados separadamente através de e-mails enviados de [email protected]. Os clientes que não receberam a notificação de segurança não foram afetados pelo incidente, de acordo com a empresa.
A ShipMonk, desde então, garantiu os sistemas afetados e reforçou a sua segurança após a violação, disse a Trezor. Ambas as empresas permanecem em contato enquanto trabalham para estabelecer como o acesso não autorizado ocorreu e determinar a informação exata que foi acessada.
O incidente representa a primeira vez desde a fundação da Trezor em 2013 que uma violação envolvendo a empresa ou um dos seus provedores expôs números de telefone e endereços de envio de clientes.
“Entendemos perfeitamente a seriedade disso e os riscos potenciais que representa para os nossos clientes e lamentamos profundamente pelos afetados”, disse a Trezor.
Embora os dispositivos da carteira e a infraestrutura da Trezor não tenham sido afetados, a empresa alertou que as informações pessoais expostas poderiam ser usadas para criar tentativas de phishing mais convincentes.
Os atacantes poderiam usar o nome, número de telefone, e-mail ou endereço residencial de um cliente para se passarem pela Trezor, uma exchange de criptomoedas ou um banco. A empresa afirmou que abordagens fraudulentas poderiam chegar por e-mails, chamadas telefónicas ou cartas físicas.
Tais ataques já tiveram como alvo proprietários de carteiras de hardware usando informações pessoais e comunicações de aparência oficial. Em fevereiro, o crypto.news noticiou sobre cartas falsas enviadas a clientes Trezor e Ledger que direcionavam os destinatários para sites de phishing através de códigos QR.
As cartas informavam aos destinatários que eles precisavam completar uma autenticação ou verificação de transação e tentavam criar urgência alertando sobre possíveis problemas com a funcionalidade da carteira. As páginas de phishing vinculadas solicitavam frases de recuperação de 12, 20 ou 24 palavras, o que daria aos atacantes controle sobre uma carteira uma vez submetidas.
Cartas físicas representam uma preocupação particular quando os atacantes já possuem os detalhes de correspondência de uma vítima. Uma campanha de phishing da Ledger em abril de 2025 envolveu de forma semelhante cartas fraudulentas com a marca Ledger, um endereço comercial e números de referência individuais.
Os destinatários dessa campanha foram instruídos a escanear um código QR e fornecer sua frase de recuperação de 24 palavras sob a alegação de que uma atualização de segurança crítica era necessária.
A Trezor aconselhou os clientes afetados pela violação da ShipMonk a tratar comunicações que exigem ação imediata ou informações pessoais com desconfiança. Também recomendou aos utilizadores que verifiquem as mensagens contra as suas comunicações oficiais e nunca forneçam um backup da carteira através de um site ou a outra pessoa.
A Trezor já lidou com a exposição de informações de clientes através de serviços de terceiros antes, embora a empresa tenha dito que o incidente da ShipMonk foi o primeiro a envolver números de telefone e endereços de envio vazados.
Em janeiro de 2024, uma parte não autorizada acessou um portal de tickets de suporte de terceiros usado pela Trezor, potencialmente expondo informações de contato de cerca de 66.000 clientes que interagiram com a equipa de suporte desde o final de 2021.
A empresa notificou os contatos afetados na época e disse que os ativos digitais não haviam sido comprometidos. O incidente envolveu o sistema de suporte externo, e não as carteiras de hardware da Trezor.
Outro método de phishing surgiu em junho de 2025, quando atacantes abusaram do formulário de contato da Trezor, enviando solicitações de suporte usando os endereços de e-mail dos utilizadores-alvo. O processo acionou respostas automáticas legítimas do sistema da Trezor, fazendo com que as comunicações de phishing resultantes parecessem mais credíveis.
A Trezor afirmou na época que a sua infraestrutura de e-mail não havia sido violada e que o formulário de contato permanecia seguro. Os atacantes, em vez disso, exploraram o fluxo de trabalho de suporte para fazer com que as mensagens fraudulentas parecessem conectadas a correspondências legítimas.
A segurança do hardware permaneceu separadamente sob escrutínio. Em junho, a Trezor e a Tropic Square divulgaram uma falha no chip que afeta o Elemento Seguro TROPIC01 usado na Trezor Safe 7 depois que pesquisadores da Ledger Donjon encontraram a vulnerabilidade durante uma auditoria independente.
A Ledger Donjon utilizou injeção de falhas a laser sob condições de laboratório para extrair alguns segredos do chip e contornar as verificações de assinatura do firmware. A Trezor afirmou que o ataque exigia acesso físico e equipamentos especializados, enquanto outras duas camadas de segurança independentes continuaram a proteger o acesso à carteira. Os utilizadores não foram obrigados a tomar qualquer ação.
O incidente da ShipMonk, em comparação, envolveu informações de pedidos mantidas por um provedor de fulfillment em vez do hardware ou software responsável por proteger as chaves privadas.
Após a mais recente divulgação, a Trezor também detalhou maneiras pelas quais os clientes podem reduzir a quantidade de informações pessoais conectadas a futuras compras de carteiras de hardware.
A empresa recomendou o uso de um endereço de e-mail não vinculado à identidade principal do cliente e sugeriu pagamentos com criptomoedas como alternativa aos cartões de crédito. Onde disponível, os clientes também podem usar uma caixa postal para reduzir a exposição do seu endereço residencial, embora os requisitos de identificação e os registros do serviço postal ainda possam ser aplicados.
A Trezor também está a preparar um serviço de Entrega Anónima projetado para reduzir as informações do cliente retidas durante os envios de carteiras de hardware.
No sistema planeado, os pedidos utilizariam um processo de checkout dedicado, recolha em armário, embalagem neutra e informações genéricas do remetente. Os identificadores de envio seriam então automaticamente excluídos após a entrega.
A Trezor afirmou que planeia disponibilizar a Entrega Anónima na União Europeia até setembro de 2026, seguida de uma implementação nos EUA até o final de 2026.
