Trezor revelou que mais 67.000 clientes nos EUA foram expostos numa violação de dados do seu fornecedor logístico, elevando para mais de 80.000 o total já conhecido de utilizadores afetados.
Pontos-chave:
- Mais 67.000 clientes norte‑americanos tiveram os dados completos de encomendas expostos, levando o total acima de 80.000.
- Os novos registos identificados remontam a novembro de 2019 e vão até agosto de 2021.
- A Trezor afirma que os seus sistemas, dispositivos, chaves privadas e cópias de segurança das wallets não foram comprometidos.
Violação na Trezor Alarga Alcance
Numa atualização de 4 de setembro, a Trezor indicou que mais 67.000 clientes dos EUA foram afetados, com registos associados a encomendas efetuadas entre novembro de 2019 e agosto de 2021.
A exposição incluiu nomes, endereços de email, números de telefone, moradas de envio e números de encomenda. Todos os novos clientes identificados foram notificados por email.
A ShipMonk, prestador de serviços logísticos da Trezor, manteve esses registos apesar de, segundo a empresa de hardware wallets, esta ter pedido repetidamente a eliminação dos dados e ter recebido garantias por escrito de que a informação tinha sido removida ao abrigo do contrato e da sua política de dados. “Estamos profundamente desiludidos por, apesar dessa confirmação, os dados não terem sido eliminados dos seus sistemas”, lamentou a Trezor.
Com esta atualização, o total conhecido ultrapassa os 80.000 clientes. No aviso publicado em agosto, a Trezor dava conta de 11.742 clientes com nomes, emails, contactos telefónicos e moradas expostos, enquanto 1.947 tinham visto comprometido um conjunto mais limitado de dados.
Veja também: Bitcoin regista melhor mês desde 2024, mas Fidelity recusa declarar fim da correção
Risco Acrescido para a Segurança Cripto
A Trezor sublinha que os seus próprios sistemas não foram violados e que o incidente não expôs chaves privadas, cópias de segurança das wallets ou segredos dos dispositivos. A empresa insiste que as suas hardware wallets continuam seguras.
O principal risco reside nos dados pessoais vazados, que podem ajudar atacantes a identificar detentores de hardware wallets e a montar esquemas de fraude cuidadosamente personalizados com base em informação aparentemente legítima.
A Trezor alertou os utilizadores afetados para a probabilidade de receberem emails falsos, chamadas fraudulentas e até cartas físicas, chamando também a atenção para potenciais ameaças de segurança física. Assim, o incidente vai além de uma mera questão de segurança de conta.
A empresa de cibersegurança TRM Labs tem defendido que a autocustódia não elimina o risco, apenas o desloca para outros elos da cadeia de segurança. Neste caso, a wallet pode permanecer protegida enquanto os registos de envio expõem a identidade do proprietário, os seus contactos e a morada de casa.
O incidente foi inicialmente revelado em 13 de agosto, quando a Trezor comunicou que a violação na ShipMonk afetara cerca de 13.689 clientes, com a maior parte da exposição relacionada com encomendas recentes, ao abrigo de uma política de retenção de 90 dias.
A descoberta posterior de registos que recuam até 2019 mostra que dados de clientes mais antigos permaneceram nos sistemas da ShipMonk, em contradição com as exigências de eliminação estabelecidas pela Trezor.
