A Trezor alertou os usuários na quarta-feira, 9 de setembro de 2026, sobre hackers que exploraram seu provedor de e-mail terceirizado para distribuir um aviso de segurança falso. No entanto, a carteira Trezor não foi afetada pelo ataque. Os criminosos visaram algo ainda mais difícil de proteger do que um software: a confiança do usuário em um e-mail de um provedor confiável.
A linha de assunto do aviso dizia o seguinte: "Alerta Crítico de Segurança: Vulnerabilidade de Entropia STM32." A mensagem afirmava que os engenheiros da Trezor haviam descoberto um defeito de design nos chips STM32 usados em seus produtos. A Decrypt informou que a Trezor reconheceu a mensagem como falsa e alertou os leitores para não clicarem nos links.
Uma falha falsa enviada de um endereço real O que tornou a campanha eficaz não foi a vulnerabilidade fabricada, mas a forma como o e-mail foi recebido. Um destinatário revelou que o e-mail veio de help@trezor.io, seguiu o caminho da campanha Sendinblue e passou nas verificações DKIM, SPF e DMARC.
O alerta especificava que um em cada quatro dispositivos pode ser comprometido e que as frases de recuperação podem não ter aleatoriedade ou entropia suficientes. Essa linguagem se assemelhava muito aos problemas descritos no recente ataque à Coldcard.
A Trezor informou que interrompeu o domínio usado para enviar os alertas e começou a investigar como os fraudadores conseguiram usar sua infraestrutura legítima de envio. O alerta público da empresa saiu logo após as 16h30, horário do leste, em 9 de setembro, apenas algumas horas depois que seus usuários começaram a levantar bandeiras sobre os e-mails.
A violação pode ir além da Trezor De acordo com Nick Neuman, cofundador e CEO da Casa, parece haver uma tendência semelhante ocorrendo entre os usuários da BitBox, e um provedor comum de e-mail marketing pode ter sido violado.
Essa é a questão maior. Os fabricantes de carteiras podem tornar seus dispositivos mais seguros, mas sua marca ainda pode ser roubada por meios que eles não controlam totalmente, desde provedores de serviços de e-mail até empresas de envio e processadores de pagamento.
Violações de dados não são explorações de dispositivos Em um relatório anterior da Cryptopolitan, foi revelado que tentativas de phishing contra usuários da Ledger também chegaram ao correio físico. No entanto, deve-se notar que esses casos são diferentes dos de exploração de dispositivos, pois uma violação de dados compromete identidade e informações de contato, enquanto uma exploração de dispositivo também pode colocar ativos financeiros em risco.
Os ataques às carteiras de hardware que ocorreram em 2026 tornam essa distinção clara. A SafePal admitiu que houve um erro de autorização em um de seus plugins de rastreamento de pedidos que levou à exposição de dados de aproximadamente 39.798 clientes, e que as frases-semente, chaves privadas e credenciais de carteira desses clientes não foram comprometidas.
A violação da ShipMonk na Trezor eventualmente aumentou o número de clientes afetados para 80.689 depois que a empresa soube que os registros antigos de pedidos dos EUA datados de 2019 a 2021 também foram armazenados e expostos. Da mesma forma, em janeiro, o incidente da Global-e na Ledger também viu a exposição dos detalhes de pedidos e informações de contato de seus clientes, com o número exato de clientes não sendo divulgado.
Em sua comparação de agosto, a Memeburn categorizou corretamente Ledger, Trezor e SafePal sob "violações de dados", enquanto identificou a Coldcard como uma "exploração de dispositivo". O valor indicado de 13.689 mencionado pela Memeburn em referência à Trezor, no entanto, é de antes da atualização da Trezor em 4 de setembro.
A Coldcard se destaca das demais. De acordo com a Galaxy Research em 14 de agosto, ela confirmou 190 vítimas diretas, bem como mais de 86.000 endereços afetados e pelo menos US$ 112,7 milhões em 1.778,84 BTC roubados devido a falhas no firmware. Outras estimativas colocaram a possível perda perto de US$ 130 milhões.
Violações de Carteiras de Hardware de 2026 vs. Exploração da Coldcard: Vítimas, Exposição de Dados e Perdas de Criptomoedas
Contexto vazado alimenta phishing industrializado O perigo em uma lista de envio vazada é o que acontece depois. A Chainalysis estimou que golpes e fraudes com criptomoedas roubaram US$ 17 bilhões em 2025, enquanto os golpes de personificação cresceram mais de 1.400% ano a ano. Ela também descobriu que golpes com links on-chain para fornecedores de IA geraram 4,5 vezes mais receita por operação do que aqueles sem tais links.
Um registro de compra de carteira de hardware pode, portanto, se tornar um arquivo de segmentação. Um nome combinado com um e-mail, número de telefone, endereço residencial e confirmação de que alguém possui um dispositivo de segurança criptográfica dá aos criminosos o contexto para criar e-mails, ligações, cartas ou até abordagens físicas convincentes.
A lição do incidente mais recente da Trezor não é que as carteiras de hardware falharam. É que o perímetro de segurança agora inclui os sistemas ao redor delas, e os atacantes cada vez mais precisam apenas de uma mensagem de aparência confiável para romper.
Se você está lendo isso, você já está à frente. Continue assim com a nossa newsletter.