O phishing da Trezor mostra que os atacantes podem pular o dispositivo e mirar na camada de confiança humana
- O Trezor afirma que hackers comprometeram um provedor de e-mail de terceiros para enviar alertas de segurança falsos, enquanto suas carteiras e dispositivos permaneceram intactos.
- Os e-mails de phishing pareciam vir da infraestrutura legítima do Trezor e alegavam falsamente que uma falha no STM32 poderia enfraquecer as frases de recuperação dos usuários.
- O ataque destaca como dados de clientes vazados e provedores de serviços comprometidos podem permitir phishing convincente, mesmo quando as próprias carteiras de hardware permanecem seguras.
A Trezor alertou os usuários na quarta-feira, 9 de setembro de 2026, sobre hackers explorando seu provedor de e-mail de terceiros para distribuir um aviso de segurança falso. No entanto, a carteira Trezor não foi afetada pelo ataque. Os criminosos miraram em algo ainda mais difícil de proteger do que um pedaço de software: a confiança de um usuário em um e-mail de um provedor confiável.
A linha de assunto do aviso era a seguinte: “Alerta de Segurança Crítico: Vulnerabilidade de Entropia do STM32”. A mensagem afirmava que os engenheiros da Trezor haviam descoberto um defeito de design nos chips STM32 usados em seus produtos. A Decrypt relatou que a Trezor reconheceu a mensagem como falsa e alertou os leitores para não clicarem nos links.
Uma falha falsa enviada de um endereço real
O que tornou a campanha eficaz não foi a vulnerabilidade fabricada, mas a maneira como o e-mail foi recebido. Um destinatário revelou que o e-mail veio de [email protected], seguiu o caminho da campanha Sendinblue e passou pelas verificações DKIM, SPF e DMARC.
O alerta especificava que um em cada quatro dispositivos pode ser comprometido e que as frases de recuperação podem não ter aleatoriedade ou entropia suficientes. Essa linguagem tinha uma forte semelhança com os problemas descritos no recente ataque à Coldcard.
A Trezor relatou que interrompeu o domínio usado para enviar os alertas e começou a investigar como os fraudadores conseguiram usar sua infraestrutura de envio legítima. O alerta público da empresa saiu logo após as 16h30 do horário do leste dos EUA no dia 9 de setembro, apenas algumas horas após seus usuários começarem a levantar bandeiras sobre os e-mails.
A violação pode ultrapassar a Trezor
De acordo com Nick Neuman, cofundador e CEO da Casa, parece haver uma tendência semelhante ocorrendo entre os usuários da BitBox e que um provedor comum de e-mails de marketing pode ter sido violado.
Esse é o problema maior. Os fabricantes de carteiras podem tornar seus dispositivos mais seguros, mas sua marca ainda pode ser roubada por meios que eles não gerenciam completamente, desde provedores de serviços de e-mail até empresas de envio e processadores de pagamento.
Violações de dados não são exploits de dispositivo
Em um relatório anterior da Cryptopolitan, foi revelado que tentativas de phishing contra usuários da Ledger também encontraram seu caminho para o correio físico. No entanto, deve-se notar que esses casos são diferentes dos exploits de dispositivos, pois uma violação de dados compromete a identidade e as informações de contato, enquanto um exploit de dispositivo pode colocar os ativos financeiros em risco.
Os ataques às carteiras de hardware que ocorreram em 2026 tornam essa distinção clara. A SafePal admitiu que houve um erro de autorização em um de seus plugins de rastreamento de pedidos, o que levou à exposição de dados de aproximadamente 39.798 clientes, e que as seed phrases, chaves privadas e credenciais da carteira desses clientes não foram comprometidas.
A violação do ShipMonk da Trezor eventualmente aumentou o número de clientes afetados para 80.689 após a empresa descobrir que os registros de pedidos antigos dos EUA, datando de 2019 a 2021, também eram armazenados e expostos. Da mesma forma, em janeiro, o incidente da Global-e da Ledger também viu a exposição dos detalhes do pedido e das informações de contato de seus clientes, sem que o número exato de clientes fosse divulgado.
Em sua comparação de agosto, Memeburn classificou corretamente a Ledger, Trezor e SafePal como “violações de dados”, enquanto identificava a Coldcard como um “exploit de dispositivo”. A figura indicada de 13.689 mencionada pela Memeburn em referência à Trezor, no entanto, é anterior à atualização da Trezor em 4 de setembro.
A Coldcard se destaca do resto. De acordo com a Galaxy Research em 14 de agosto, confirmou 190 vítimas diretamente, bem como mais de 86.000 endereços afetados e pelo menos US$ 112,7 milhões em 1.778,84 BTC roubados devido a falhas no firmware. Outras estimativas colocaram a perda possível perto de US$ 130 milhões.
O contexto vazado alimenta o phishing industrializado
O perigo em uma lista de envio vazada é o que acontece em seguida. A Chainalysis estimou que golpes e fraudes de criptomoedas roubaram US$ 17 bilhões em 2025, enquanto os golpes de suplantação de identidade cresceram mais de 1.400% em relação ao ano anterior. Ela também descobriu que golpes com links on-chain para fornecedores de IA geraram 4,5 vezes mais receita por operação do que aqueles sem tais links.
Um registro de compra de carteira de hardware pode, portanto, tornar-se um arquivo de direcionamento. Um nome emparelhado com um e-mail, número de telefone, endereço residencial e a confirmação de que alguém possui um dispositivo de segurança de criptomoedas dá aos criminosos o contexto para criar e-mails, chamadas, cartas ou até abordagens físicas convincentes.
A lição do mais recente incidente da Trezor não é que as carteiras de hardware falharam. É que o perímetro de segurança agora inclui os sistemas ao seu redor, e os atacantes cada vez mais precisam apenas de uma mensagem com aparência confiável para romper a defesa.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
O hardware do Trezor ou a frase de recuperação foram realmente comprometidos?
Não. O Trezor informou que o e-mail foi uma tentativa de phishing enviada através de um provedor de e-mail de terceiros violado, e a suposta falha de hardware STM32 foi fabricada; a segurança do dispositivo não foi afetada.
Como o e-mail falso passou pelos filtros de spam?
De acordo com um relatório de usuário citado pela Decrypt, a mensagem parecia vir de [email protected] e passou pelas verificações de autenticação DKIM, SPF e DMARC porque os atacantes a enviaram pelo caminho legítimo de envio de e-mails do Trezor, em vez de se fazerem passar por remetentes externos.
A campanha de phishing atingiu apenas usuários do Trezor?
O CEO da Casa, Nick Neuman, disse no X que usuários do BitBox relataram os mesmos e-mails e que um provedor de marketing compartilhado provavelmente foi comprometido, sugerindo que a campanha se estendeu além da Trezor.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun faz bom uso de sua especialização em Engenharia e Gestão Ambiental (MSc) na Universidade de Tecnologia de Tallinn (TalTech) para refinar notícias sobre previsão de preços e conteúdo no Cryptopolitan. Agora em seu 7º ano no espaço de mídia cripto, ele cobre principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes.
