Vazamento da Trezor Atinge Mais 67 Mil Clientes por Falha em Exclusão de Dados

Vazamento de Dados da Trezor Atinge Mais 67 Mil Clientes nos EUA por Falha em Exclusão de Registros

A Trezor, renomada fabricante de carteiras de hardware, anunciou que um incidente de segurança envolvendo seu parceiro logístico, ShipMonk, expôs dados de contato e pedidos de aproximadamente 67.000 clientes adicionais nos Estados Unidos. Esta revelação amplia significativamente o escopo do vazamento inicialmente reportado, que afetava 13.689 pessoas, elevando o total de indivíduos potencialmente comprometidos para cerca de 80.689.

O problema central reside na persistência de registros antigos, datados de novembro de 2019 a agosto de 2021, que permaneceram nos sistemas da ShipMonk. Isso ocorreu apesar de a Trezor ter recebido garantias escritas de que esses dados seriam devidamente excluídos, conforme a política de 90 dias da empresa para informações de entrega. Os dados expostos incluem nomes, endereços de e-mail, números de telefone, endereços de entrega e números de pedido, criando riscos que vão além de uma simples violação de e-mail.

Contexto e Detalhes da Exposição de Dados

O incidente foi inicialmente divulgado pela Trezor em 13 de agosto, quando a empresa informou sobre a exposição de dados de 11.742 clientes com exposição total e 1.947 com exposição parcial. Naquela ocasião, a Trezor havia afirmado que os dados de pedidos mais antigos já haviam sido deletados, uma compreensão que foi posteriormente revista com a nova atualização.

A atualização de 4 de setembro detalhou que os registros recém-descobertos abrangem pedidos feitos por clientes dos EUA entre novembro de 2019 e agosto de 2021. Esses dados incluem informações sensíveis como nome completo, endereço de e-mail, número de telefone, endereço de entrega e o número do pedido. A combinação desses detalhes permite vincular uma pessoa identificável e sua localização física à compra de uma carteira de hardware, um dispositivo crucial para a segurança de criptomoedas.

A causa raiz do acesso não autorizado original, conforme reportado, foi uma vulnerabilidade na plataforma de análise Metabase, utilizada pela ShipMonk. Essa falha de segurança, identificada como um zero-day em agosto, permitiu a criação de uma sessão vinculada a uma conta de administrador e a subsequente realização de downloads em massa de tabelas de dados. A reavaliação do incidente pelo provedor logístico revelou a retenção dos dados históricos, expandindo o número de clientes Trezor expostos.

A Trezor enfatizou que seus próprios sistemas, produtos e serviços não foram comprometidos. As carteiras de hardware Trezor permanecem seguras, e informações críticas como recovery seeds, chaves privadas ou fundos dos usuários não foram acessadas. O risco, portanto, não reside na integridade dos dispositivos ou dos ativos de blockchain neles armazenados, mas sim na possibilidade de ataques externos direcionados aos usuários.

Impacto no Brasil e Lições de Segurança

Embora o vazamento de dados da Trezor tenha afetado clientes nos Estados Unidos, as implicações e as lições de segurança são universais para o ecossistema de criptomoedas, incluindo o público brasileiro. A exposição de dados de compra de carteiras de hardware eleva o risco de ataques de engenharia social e, em casos extremos, ameaças à segurança física.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) estabelece um rigoroso arcabouço para o tratamento de informações pessoais. Empresas que, de alguma forma, coletam ou processam dados de cidadãos brasileiros, mesmo que o incidente ocorra em jurisdição estrangeira, podem enfrentar questionamentos e sanções. Este cenário reforça a importância de que empresas parceiras de tecnologia e logística sigam as melhores práticas de segurança e conformidade com a legislação de proteção de dados.

Para o investidor brasileiro, a situação sublinha a necessidade de Diligência Devida (DYOR) não apenas na escolha de criptoativos como Bitcoin ou Ethereum, mas também na seleção de fornecedores de soluções de segurança. A Receita Federal exige a declaração de criptoativos por meio da Instrução Normativa 1.888, e embora o vazamento não revele saldos, ele pode, em tese, ser usado por criminosos para identificar potenciais alvos com base em suas compras de dispositivos de segurança.

É fundamental que os usuários brasileiros de carteiras de hardware mantenham a vigilância contra e-mails, chamadas ou mensagens suspeitas que tentem se passar por Trezor ou outras empresas do setor. A adoção de autenticação de dois fatores (2FA) em todas as contas relacionadas a cripto e a desconfiança de qualquer solicitação de recovery seed ou chaves privadas são medidas preventivas essenciais para mitigar os riscos decorrentes de vazamentos como este.

Próximos Passos e O Que Observar

A Trezor comunicou que enviou e-mails diretamente a cada cliente recém-afetado, orientando que aqueles que não receberam a notificação não foram impactados pelo incidente. A empresa reiterou a instrução crucial de nunca compartilhar o backup de uma carteira (a recovery seed) ou inseri-lo em qualquer website, independentemente da solicitação.

Este episódio serve como um lembrete contundente de que a proteção das chaves privadas, embora vital, não elimina completamente o rastro de compra gerado pela logística de entrega. A eficácia de uma política de exclusão de dados depende diretamente da verificação rigorosa da conformidade do fornecedor. O mercado de criptoativos continua a amadurecer, e a segurança da cadeia de suprimentos se torna um ponto de atenção crescente para todos os envolvidos, desde usuários de DeFi até grandes investidores institucionais.