A Trezor acabou de confirmar uma violação em seu parceiro de envio — 13.689 clientes tiveram nomes, endereços, números de telefone e e-mails expostos entre 10 de maio e 8 de agosto. As chaves privadas não foram tocadas, mas esse não é o risco real.
O risco real: essa lista de clientes agora é um alvo valioso para phishing. Não são e-mails aleatórios — são pessoas que detêm criptos, com carteiras de hardware. Os atacantes sabem exatamente quem atingir.
Isso não é novidade. As listas de clientes de carteiras de hardware já foram verdadeiras minas de ouro para campanhas de phishing antes. A Ledger teve uma violação semelhante em 2020 — mais de 270.000 clientes expostos. O que se seguiu foi uma onda de phishing direcionado, e-mails falsos de suporte e até ameaças físicas. Alguns usuários perderam fundos não porque os dispositivos foram hackeados, mas porque foram manipulados socialmente a entregar seed phrases.
Se você é cliente da Trezor nesse período, espere:
1. E-mails falsos de "atualização urgente de segurança"
2. Sites de phishing que parecem idênticos ao site real da Trezor
3. Ligações ou mensagens de texto fingindo ser o suporte da Trezor
O roteiro é previsível. E se você estiver com $PI ou qualquer outro token vinculado a bases de dados de usuários centralizadas, assuma que a mesma coisa eventualmente vai acontecer. Parceiros de envio, provedores de e-mail, plataformas de KYC — cada ponto de contato de terceiros é uma possível brecha.
Nenhuma chave foi comprometida desta vez. Mas, em criptomoedas, ter sua identidade exposta muitas vezes já é o suficiente.
O risco real: essa lista de clientes agora é um alvo valioso para phishing. Não são e-mails aleatórios — são pessoas que detêm criptos, com carteiras de hardware. Os atacantes sabem exatamente quem atingir.
Isso não é novidade. As listas de clientes de carteiras de hardware já foram verdadeiras minas de ouro para campanhas de phishing antes. A Ledger teve uma violação semelhante em 2020 — mais de 270.000 clientes expostos. O que se seguiu foi uma onda de phishing direcionado, e-mails falsos de suporte e até ameaças físicas. Alguns usuários perderam fundos não porque os dispositivos foram hackeados, mas porque foram manipulados socialmente a entregar seed phrases.
Se você é cliente da Trezor nesse período, espere:
1. E-mails falsos de "atualização urgente de segurança"
2. Sites de phishing que parecem idênticos ao site real da Trezor
3. Ligações ou mensagens de texto fingindo ser o suporte da Trezor
O roteiro é previsível. E se você estiver com $PI ou qualquer outro token vinculado a bases de dados de usuários centralizadas, assuma que a mesma coisa eventualmente vai acontecer. Parceiros de envio, provedores de e-mail, plataformas de KYC — cada ponto de contato de terceiros é uma possível brecha.
Nenhuma chave foi comprometida desta vez. Mas, em criptomoedas, ter sua identidade exposta muitas vezes já é o suficiente.