Uma violação de dados em um dos provedores de envio da Trezor expôs os nomes, números de telefone, endereços de e-mail e endereços residenciais de milhares de clientes da fabricante de carteiras de hardware, revelou a empresa na quinta-feira.

A ShipMonk, que armazena e envia os produtos da Trezor, informou à empresa na segunda-feira que uma parte não autorizada acessou sistemas que continham dados de clientes. Cerca de 11.742 clientes tiveram seus dados completos roubados e outros 1.947 tiveram nomes, cidades e endereços de e-mail expostos, totalizando 13.689. Os afetados fizeram pedidos entre 10 de maio e 8 de agosto e os tiveram enviados para os Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália ou Portugal.

A Trezor afirmou que seus próprios sistemas não foram comprometidos e que nenhum dispositivo, chave privada ou backup de carteira foi tocado. Atribuiu o escopo limitado a uma política que exige que os parceiros excluam ou anonimizem os dados de pedidos 90 dias após a entrega, o que significava que pedidos mais antigos não eram mais mantidos. Clientes que não receberam um e-mail de notificação não foram afetados, disse. Em 13 anos, acrescentou a empresa, nunca antes havia tido uma violação expondo números de telefone e endereços de entrega de clientes.

Phishing e “ataques de chave de boca”

O aviso da Trezor diz respeito a phishing, e a empresa aconselha os clientes a tratar contatos inesperados com suspeita e nunca inserir um backup de carteira online. O precedente de 2020 na rival Ledger sugere que o risco vai além de e-mails fraudulentos.

Depois que aproximadamente 272.000 clientes da Ledger tiveram nomes, endereços e números de telefone publicados, alguns começaram a receber pedidos de resgate ameaçando violência. Um deles disse à Decrypt que recebia vários e-mails e mensagens de texto por dia, enquanto outros relataram mais tarde receber chamadas de phishing de pessoas que falavam como se os conhecessem.

Essas ameaças agora têm mais companhia, com a CertiK verificando 52 ataques físicos a detentores de criptomoedas em todo o mundo no primeiro semestre de 2026, um aumento de 39 no ano anterior, e invasões domiciliares superando sequestros como o método mais comum. A Chainalysis estimou a soma roubada em mais de US$ 30 milhões no mesmo período e disse que o ano estava a caminho de ser o pior já registrado.

Este não é o primeiro incidente desse tipo a atingir a cadeia de fornecedores de carteiras de hardware. A Ledger divulgou uma violação em seu próprio parceiro de e-commerce, Global-e, em janeiro, e as empresas de carteiras de hardware alertaram sobre um aumento no phishing este mês, à medida que as perdas do exploit da Coldcard se aproximavam de US$ 130 milhões.

A notícia chega enquanto os usuários de carteiras de hardware foram abalados pelo recente exploit da Coldcard. Cerca de 233.000 BTC que deixaram carteiras de detentores de longo prazo em torno da violação da Coldcard, valendo aproximadamente US$ 15 bilhões, vieram de proprietários de Ledger e Trezor, em vez de clientes da Coldcard, que migraram para configurações multi-assinatura após observar o exploit se desenrolar, de acordo com a Casa.

A Trezor disse que está adiantando uma opção de Entrega Anônima usando retirada em armário, embalagem neutra, detalhes genéricos do remetente e exclusão automática de identificadores de envio, visando a União Europeia até setembro e os Estados Unidos até o final do ano.