A fabricante de carteiras de hardware para criptomoedas Trezor confirmou que um vazamento de dados em seu provedor de serviços de e-mail resultou no envio de cerca de 347.000 mensagens de phishing para clientes da plataforma. A campanha de golpe, revelada nesta semana, explorou dados roubados para tentar convencer as vítimas a revelar as frases de recuperação de suas carteiras digitais, o que permitiria o roubo total dos fundos armazenados.
O incidente representa o segundo vazamento significativo envolvendo a Trezor em poucas semanas e levanta preocupações sobre a segurança na cadeia de fornecedores de empresas de criptomoedas.
Do vazamento ao golpe: como o ataque funcionou
De acordo com a reportagem do TechCrunch, o vetor de ataque foi a Brevo, plataforma de e-mail marketing utilizada pela Trezor para enviar comunicações aos clientes. Invasores exploraram uma falha de configuração de permissões na plataforma para comprometer 138 contas de clientes da Brevo, obtendo acesso mais amplo do que o autorizado.
Com acesso à lista de e-mails da Trezor, os criminosos elaboraram mensagens com aparência oficial, usando o assunto “Critical Security Alert: STM32 Entropy Vulnerability”. A mensagem alertava para uma suposta vulnerabilidade técnica no hardware da carteira e instruía as vítimas a acessar um link para proteger seus ativos. Ao seguir as instruções, elas eram levadas a inserir sua frase-semente, a sequência de palavras que funciona como senha-mestra de uma carteira de criptomoedas. Quem forneceu esses dados perdeu o controle total dos fundos armazenados na carteira.
Segundo vazamento em menos de um mês
Este não foi o primeiro incidente de segurança envolvendo a Trezor em 2026. Em agosto, a empresa sofreu outro vazamento quando a ShipMonk, seu parceiro de logística e envio de produtos, foi comprometida. Nessa ocasião, os dados pessoais de pelo menos 81.000 clientes foram expostos, incluindo endereços físicos e informações de contato.
A combinação dos dois vazamentos cria um risco elevado para os usuários afetados. Os criminosos agora podem ter acesso tanto a dados de contato digital quanto a endereços físicos, abrindo caminho para ataques de engenharia social mais sofisticados, como ligações falsas de suporte técnico ou até abordagens presenciais em busca de informações sensíveis.
Por que a frase-semente é um alvo tão valioso
Para quem não é familiarizado com o funcionamento de carteiras de criptomoedas, a frase-semente, em inglês seed phrase, é um conjunto de 12 a 24 palavras geradas aleatoriamente no momento da criação da carteira. Ela funciona como a chave-mestra que pode restaurar o acesso a todos os fundos armazenados em qualquer dispositivo compatível.
Ao contrário de uma senha bancária, a frase-semente não pode ser recuperada ou alterada sem criar uma nova carteira do zero. Se ela for comprometida, qualquer pessoa que a possua pode transferir todos os fundos imediatamente e de forma irreversível, sem necessidade de acesso físico ao dispositivo ou qualquer outro fator de autenticação. Por isso, o golpe é especialmente devastador: uma vez que a vítima digita a frase no site falso, a perda é imediata e definitiva.
Exatamente por isso, empresas legítimas como a Trezor nunca pedem a frase-semente em nenhuma circunstância. A regra de ouro no universo cripto é simples: se alguém ou algum site pede sua frase-semente, é golpe, sem exceções.
O que fazer se você foi afetado
Usuários da Trezor que receberam o e-mail de phishing e não clicaram no link ou inseriram informações em nenhum site não precisam tomar nenhuma ação imediata. A carteira física permanece segura enquanto a frase-semente não for compartilhada.
Quem inseriu a frase-semente em qualquer site após receber este e-mail deve agir com urgência: criar imediatamente uma nova carteira, transferir todos os fundos para o novo endereço e considerar a carteira anterior completamente comprometida. Cada segundo conta, pois os criminosos agem assim que recebem os dados.
Para evitar este tipo de golpe no futuro, o recomendado é nunca acessar links em e-mails de suporte técnico. Em vez disso, acesse sempre o site oficial digitando o endereço diretamente no navegador. A Trezor e outras carteiras de hardware nunca solicitam a frase-semente, mesmo em situações de emergência técnica.
A epidemia de ataques a cripto via cadeia de fornecedores
O incidente com a Trezor é parte de uma tendência preocupante de ataques a usuários de criptomoedas por meio da cadeia de fornecedores. Em vez de atacar diretamente as plataformas de blockchain, que possuem segurança técnica robusta, os criminosos focam nos serviços periféricos que as empresas cripto utilizam: provedores de e-mail, parceiros de logística, plataformas de atendimento ao cliente.
Esses alvos costumam ter padrões de segurança menos rigorosos e armazenam dados valiosos que podem ser usados para construir ataques altamente personalizados. Um usuário que já comprou uma carteira Trezor, por exemplo, é muito mais propenso a clicar em um e-mail que menciona uma vulnerabilidade de segurança do dispositivo do que uma pessoa qualquer.
Com mais de 347.000 e-mails enviados e um potencial de ganho de centenas de milhares de dólares por campanha, esses ataques têm motivação econômica clara. No Brasil, onde o interesse em criptomoedas cresce de forma consistente e plataformas como Mercado Bitcoin, Binance e Coinbase têm milhões de usuários, a conscientização sobre esse tipo de golpe é fundamental para proteger o patrimônio digital dos investidores.
O panorama mais amplo: outros vazamentos recentes no setor
O caso Trezor ocorre na mesma semana em que outro grande vazamento de dados foi noticiado no setor de verificação de identidade. A empresa IDScan, americana especializada em conferência de documentos para casas noturnas e estabelecimentos comerciais, confirmou o roubo de mais de 150 milhões de registros de carteiras de habilitação dos Estados Unidos e do Canadá. Embora o caso seja independente do da Trezor, ele reforça o momento preocupante para a segurança de dados pessoais em escala global.
Para os usuários de criptomoedas, a mensagem é clara: a segurança da carteira física é apenas o início. A proteção dos dados cadastrais em serviços de terceiros, como plataformas de e-mail e parceiros de entrega, é igualmente crítica para evitar que informações pessoais sejam exploradas em ataques direcionados.
