Uma violação nos sistemas da ShipMonk, parceira logística da Trezor, expôs dados pessoais de 13.689 clientes. A fabricante de carteiras de hardware divulgou o incidente nesta quinta-feira (13).

A ShipMonk armazena e envia os produtos da empresa. Na segunda-feira, a provedora informou que um agente não autorizado acessou sistemas com informações de clientes.

Ao todo, 11.742 pessoas tiveram nome, telefone, e-mail e endereço residencial expostos. Outras 1.947 tiveram nome, cidade e e-mail comprometidos.

Os clientes afetados fizeram pedidos entre 10 de maio e 8 de agosto. A ShipMonk encaminhou as entregas aos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.

Incidente atingiu informações de entrega

A Trezor afirmou que o ataque não alcançou seus próprios sistemas. Assim, o incidente não comprometeu dispositivos, chaves privadas ou backups de carteiras.

Para limitar a exposição, a empresa exige que parceiros excluam ou anonimizem os dados dos pedidos 90 dias após cada entrega. Como consequência, a ShipMonk já não mantinha informações de compras mais antigas.

A fabricante também declarou que os clientes sem e-mail de notificação não sofreram impacto. Em 13 anos, esta foi a primeira violação que expôs telefones e endereços de envio de seus compradores.

Ainda assim, o episódio reforça os riscos relacionados aos dados pessoais de usuários de carteiras de hardware. Embora protejam as credenciais financeiras, esses dispositivos dependem de serviços externos para venda e entrega.

Trezor alerta clientes sobre tentativas de phishing

Após a exposição, a Trezor destacou o risco de phishing. Por isso, orientou os clientes a desconfiar de contatos inesperados e nunca inserir backups da carteira na internet.

Nesse contexto, o caso da Ledger em 2020 mostrou que as consequências podem superar os e-mails fraudulentos. Depois que dados de cerca de 272 mil clientes vieram a público, algumas vítimas receberam pedidos de resgate com ameaças de violência.

Uma delas relatou vários e-mails e mensagens de texto por dia. Enquanto isso, outros clientes afirmaram que golpistas faziam chamadas e conversavam como se já os conhecessem.

Paralelamente, cresceram as ameaças físicas contra detentores de criptomoedas. A CertiK identificou 52 ataques físicos no mundo durante o primeiro semestre de 2026, ante 39 no ano anterior.

As invasões domiciliares também superaram os sequestros como método mais frequente. Já a Chainalysis estimou perdas acima de US$ 30 milhões no período. A empresa avaliou que 2026 caminhava para se tornar o pior ano já registrado.

Casos recentes pressionam fabricantes de carteiras

O incidente não foi o primeiro a envolver prestadores de serviços de fabricantes de carteiras de hardware. Em janeiro, a Ledger revelou uma violação na Global-e, sua parceira de comércio eletrônico.

Neste mês, empresas do setor também alertaram sobre o avanço do phishing. O movimento ocorreu enquanto as perdas ligadas ao exploit da Coldcard se aproximavam de US$ 130 milhões.

De acordo com a Casa, proprietários de dispositivos Ledger e Trezor responderam por parte das movimentações registradas no período. No total, 233 mil Bitcoin saíram de carteiras pertencentes a detentores de longo prazo.

Esse volume equivalia a aproximadamente US$ 15 bilhões. Contudo, a Casa descartou clientes da Coldcard como origem desse fluxo. Após o exploit, esse grupo teria transferido recursos para configurações com múltiplas assinaturas.

Entrega Anônima deve reduzir exposição de dados

Para diminuir os riscos futuros, a Trezor informou que implementará uma opção chamada Entrega Anônima. O recurso permitirá a retirada dos produtos em armários e usará embalagens neutras.

A modalidade também adotará informações genéricas sobre o remetente. Além disso, o sistema excluirá automaticamente os identificadores relacionados ao envio.

Inicialmente, a empresa pretende oferecer a solução na União Europeia até setembro. Nos Estados Unidos, a Trezor planeja concluir a implementação até o fim do ano.