Vazamento na Trezor Expõe Dados de 14 Mil Clientes Após Ataque a Fornecedor

A recente violação de dados na Trezor, fabricante de carteiras de hardware para criptomoedas, expõe novamente a fragilidade da cadeia de suprimentos digital. A falha ocorreu em sua parceira logística, ShipMonk, e impactou quase 14 mil clientes, com nomes completos, e-mails, endereços de entrega e números de telefone sendo expostos para a maioria. O elo fraco da vez foi a Metabase, uma plataforma de análise de dados, que sofreu um ataque de dia zero explorando uma vulnerabilidade de injeção de SQL. Este método permitiu que os atacantes obtivessem acesso de administrador à instância da ShipMonk.

Este incidente não é isolado e segue um padrão preocupante. Como noticiado pelo CEVIU em março de 2026, empresas como ManoMano e Ericsson também foram vítimas de violações através de seus fornecedores de serviços. A Metabase, por sua vez, já havia revelado o ataque zero-day, afetando outras companhias como Framework e Tally. A gangue ShinyHunters está por trás dos e-mails de extorsão enviados à ShipMonk, indicando uma monetização direta dos dados roubados.

Este incidente representa uma reincidência para a Trezor em falhas de segurança envolvendo terceiros. Em janeiro de 2024, a empresa sofreu um vazamento de dados em seu portal de suporte, operado por um fornecedor externo, expondo nomes de usuário e e-mails de 66 mil usuários. Naquela ocasião, as informações foram usadas para ataques de phishing sofisticados, tentando roubar as frases de recuperação de 24 palavras dos usuários. O que muda agora é o vetor de ataque: daquele suporte técnico para um parceiro logístico, via uma vulnerabilidade zero-day em uma plataforma analítica. O risco de phishing, porém, permanece o mesmo, ou até maior, pela riqueza dos dados vazados.

A exposição de dados como nome, e-mail, telefone e endereço para quase 14 mil clientes da Trezor é um prato cheio para ataques de phishing e engenharia social. Golpistas agora têm informações suficientes para criar mensagens altamente convincentes, seja por e-mail, telefone ou correio físico, se passando por bancos, exchanges de criptomoedas ou pela própria Trezor. O objetivo é sempre o mesmo: enganar o usuário para que ele revele informações sensíveis, como as chaves de sua carteira de criptomoedas.

Este caso reforça a tese do “Blue Report 2026”, que aponta uma queda drástica na prevenção de ataques após a obtenção de credenciais válidas. Mesmo que os sistemas internos da Trezor não tenham sido comprometidos, a dependência de fornecedores externos, especialmente para logística e análise de dados, cria pontos cegos na segurança. Empresas precisam intensificar a auditoria e o monitoramento de seus parceiros, tratando-os como uma extensão de sua própria superfície de ataque.