A Trezor, uma das fabricantes de hardware wallet mais populares do mundo, confirmou em 13 de agosto um vazamento de dados que atingiu 13.689 clientes — e o Brasil está na lista dos sete países afetados. Antes do pânico: nenhuma carteira foi hackeada e nenhuma chave privada foi exposta. O problema aconteceu na ShipMonk, empresa de logística que embala e envia os dispositivos.
O que vazou (e o que NÃO vazou)
| Dado | Situação | Risco |
|---|---|---|
| Nome, e-mail, telefone e endereço de entrega | 11.742 clientes (exposição total) | Alto — phishing dirigido |
| Nome, cidade e e-mail | 1.947 clientes (exposição parcial) | Médio |
| Chaves privadas / seed phrase | Não vazaram | Zero — ficam no dispositivo |
| Fundos nas carteiras | Intactos | Nenhum dispositivo comprometido |
Os países afetados são Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal — apenas pedidos entregues entre 10 de maio e 8 de agosto de 2026. Segundo a ShipMonk, os invasores exploraram uma vulnerabilidade na Metabase, plataforma de análise de dados usada internamente, que avisou a empresa em 6 de agosto.
Por que essa lista vale ouro para criminosos
Um vazamento de e-commerce comum expõe consumidores genéricos. Este expõe algo muito mais valioso: uma lista confirmada de pessoas que guardam cripto em autocustódia, com telefone e endereço físico. É o insumo perfeito para os dois golpes que mais crescem no setor:
- Phishing dirigido: e-mail ou SMS “da Trezor” pedindo para “validar sua seed phrase” por causa do incidente — a Trezor nunca pede as 12/24 palavras, por nenhum motivo;
- Golpe do falso suporte: ligação de “atendente” citando seu nome e pedido real para ganhar confiança;
- Risco físico: no limite, o endereço de entrega diz onde mora alguém que comprovadamente tem cripto.
“Em 6 de agosto de 2026, a Metabase nos informou que uma parte não autorizada explorou uma vulnerabilidade no software da Metabase para acessar dados relacionados à sua conta e aos seus clientes.”
— Comunicado da ShipMonk aos clientes
Não é o caso Coldcard — são incidentes diferentes
O timing assustou: o vazamento veio duas semanas depois da falha da Coldcard, que drenou 594 BTC por um bug no gerador de números aleatórios. Mas os casos não têm relação. Na Coldcard, o problema era no firmware — a chave nascia fraca. No caso Trezor, o dispositivo continua seguro; o que vazou foi o cadastro de entrega numa empresa terceirizada. A lição que fica é outra: o elo mais fraco da autocustódia nem sempre é a criptografia — às vezes é a caixa com seu nome no correio.
Comprou Trezor nos últimos meses? Faça isso agora
Checklist de proteção
- Desconfie de TODO contato “da Trezor” — e-mail, SMS, WhatsApp ou ligação citando o incidente. A empresa não pede seed phrase, não pede firmware por link e não liga;
- Nunca digite suas 12/24 palavras em site, app ou formulário — a seed só existe no dispositivo;
- Ative a passphrase (BIP-39) — cria uma “25ª palavra” que protege mesmo em cenário extremo;
- Não comente saldo em rede social e considere receber encomendas futuras em ponto de retirada, não em casa;
- Cheque a comunicação oficial apenas em trezor.io — nada de link de e-mail.
O vazamento em números
13.689
Clientes afetados
7 países
Brasil incluído
0
Chaves privadas expostas
Perguntas Frequentes
Minha Trezor foi hackeada?
Não. Nenhum dispositivo foi comprometido e nenhuma chave privada vazou. O incidente foi na ShipMonk, parceira de logística, e expôs dados de cadastro e entrega — não fundos.
Como sei se fui afetado?
O vazamento atinge quem recebeu pedidos entre 10 de maio e 8 de agosto de 2026 nos EUA, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. A Trezor está notificando os afetados por e-mail — confirme sempre no site oficial trezor.io.
Preciso mover meus fundos?
Não é necessário: as chaves continuam seguras no dispositivo. O risco agora é phishing — golpistas usando seus dados reais para se passar pela Trezor e pedir sua seed phrase. Quem nunca digita a seed fora do dispositivo continua protegido.
Leia também: Coldcard: falha de RNG drenou 594 BTC em 25 minutos — o que fazer agora
Mais lidas no Blog
- Coldcard: falha de RNG drenou 594 BTC em 25 minutos — o que fazer agora
- Recuperar Bitcoin perdido com IA: o golpe perigoso que mira sua seed phrase
- Golpe de staking falso de XRP: 3,4 milhões roubados em 8 dias na Coreia
- Tether passa na 1ª auditoria completa da KPMG: reservas superam passivos em US$ 6,8 bilhões
- DolaRamp: a nossa carteira de dólar digital que não precisa de gás