Dois incidentes nesta semana expuseram riscos nos sistemas que cercam as carteiras hardware. De um lado, a D’CENT investiga transferências não autorizadas em sua App Wallet. De outro, a Trezor revelou o vazamento de contatos após uma invasão na Brevo, sua fornecedora de marketing. Nenhuma das empresas relatou comprometimento da segurança dos dispositivos físicos.

Ainda assim, os dois casos abriram caminhos para o mesmo alvo: a frase de recuperação. Quando um criminoso obtém essas palavras, ele pode reconstruir a carteira e controlar os recursos armazenados. Assim, a segurança da autocustódia também depende dos aplicativos, fornecedores e bancos de dados que cercam o aparelho.

Aplicativo da D’CENT amplia área de risco

Segundo a investigação da D’CENT, inserir uma frase de recuperação em um software amplia o risco para além do aparelho original. Em 16 de setembro, a empresa recebeu os primeiros relatos de transferências não autorizadas. A maioria dos usuários afetados utilizava a App Wallet. Essa solução armazena ou importa chaves em um celular.

Até agora, a D’CENT não confirmou uma invasão de seus produtos de hardware. A empresa ainda investiga a causa e o alcance total das transferências. Além disso, os critérios atuais abrangem carteiras com frases inseridas na App Wallet e histórico de assinaturas em versões anteriores à 8.1.0. A versão 8.1.0 chegou em 5 de novembro de 2025.

A possível exposição inclui Bitcoin, Ethereum, XRP Ledger, Tron e outras redes compatíveis com EVM. Nesse contexto, uma frase criada em um dispositivo D’CENT pode gerar as mesmas chaves privadas em outro ambiente. Contudo, a empresa afirma que a conexão normal entre o hardware e o aplicativo não transfere a frase ao telefone. Por outro lado, a importação manual para a App Wallet efetua essa transferência.

Por isso, a D’CENT orienta os usuários enquadrados nos critérios a atualizar o aplicativo antes de assinar outra transação. Em seguida, eles devem criar uma carteira protegida por uma nova frase e transferir os recursos afetados. A recomendação, portanto, não envolve restaurar a frase antiga em outro dispositivo. Ao mesmo tempo, a empresa trabalha com corretoras, autoridades policiais e investigadores de blockchain para rastrear e, quando possível, congelar os recursos roubados.

Vazamento da Trezor favorece campanhas de phishing

A Trezor detalhou o incidente ocorrido na Brevo, distante da carteira em si. Embora o ataque não tenha atingido os dispositivos, ele mostrou como dados de clientes podem sustentar golpes. A Brevo informou que um invasor explorou uma falha em sua implementação de login único SAML. Com isso, o criminoso alcançou 138 contas de clientes.

O invasor exportou contatos de 43 contas e usou outras seis para enviar e-mails de phishing. Como resultado, as mensagens passaram pelas verificações usuais de autenticação e pareciam vir de sistemas confiáveis. No caso da Trezor, o criminoso obteve 347.149 contatos de e-mail usados em campanhas de marketing. Esses endereços podem facilitar novos ataques direcionados contra proprietários de carteiras.

Golpe solicitava o backup da carteira

Os invasores enviaram uma mensagem sobre uma suposta vulnerabilidade crítica no hardware. Depois disso, o texto exigia que os clientes baixassem um aplicativo, que solicitava o backup da carteira. Cerca de 2.500 destinatários acessaram o domínio malicioso antes de a Trezor desativá-lo. Entretanto, apenas clicar no endereço não expunha os recursos, segundo a empresa.

O risco surgia quando o usuário inseria o backup no aplicativo fraudulento. Dessa forma, o atacante conseguia recriar a carteira em outro local e assumir o controle das chaves. Mesmo após a remoção do domínio, a lista exportada continua útil para futuras campanhas. Os criminosos podem explorar falsos alertas de segurança, atualizações de software ou pedidos de suporte.

Em agosto, outro incidente envolvendo uma fornecedora de entregas expôs telefones, endereços e dados de pedidos de clientes da Trezor. Contudo, aquele episódio também não afetou as carteiras. Agora, o vazamento na Brevo amplia a quantidade de informações disponíveis para ataques personalizados. Por esse motivo, usuários devem desconfiar de qualquer solicitação de frase de recuperação ou backup.

Empresas reforçam controles após os incidentes

Após a invasão, a Trezor suspendeu sua conta na Brevo e iniciou uma revisão de fornecedores e exigências de segurança. A Brevo fechou a rota de login único usada no ataque e redefiniu as sessões ativas. Além disso, a fornecedora informou que prepara uma correção permanente. A D’CENT, por sua vez, adiciona proteções e processos de verificação enquanto identifica todos os endereços afetados.

Em conjunto, os episódios mostram que a proteção das carteiras hardware não depende apenas dos componentes físicos. Quando usuários inserem frases de recuperação em programas comprometidos ou as entregam em golpes, criminosos não precisam violar o aparelho. Portanto, fabricantes também precisam limitar os dados retidos e avaliar rigorosamente fornecedores externos. Medidas desse tipo reduzem os caminhos alternativos que levam às chaves privadas.