Segurança
Por KriptoBR · Publicado em 13 de agosto de 2026 · Leitura de 12 minutos
Nenhum dado de cliente da KriptoBR foi exposto. Em 12 de agosto de 2026, a Trezor anunciou que a ShipMonk, uma das empresas de logística que operam a expedição da fabricante no exterior, sofreu um acesso não autorizado que expôs dados de 13.689 clientes — incluindo brasileiros. Nome, endereço de entrega, telefone e e-mail vazaram. Nenhum dispositivo, seed ou fundo foi comprometido. E quem comprou na KriptoBR está fora do incidente por um motivo estrutural, não por sorte: somos uma revenda independente e os dados dos nossos clientes nunca são enviados a fabricante alguma. Neste artigo, explicamos o que aconteceu, mostramos por que esse tipo de vazamento se repete há seis anos sempre pelo mesmo elo da corrente, e detalhamos o que fazer se você comprou diretamente no site da fabricante.
O que aconteceu: a linha do tempo do incidente
A ShipMonk é uma operadora logística terceirizada — um 3PL, na sigla do setor. Empresas contratam esse tipo de fornecedor para armazenar produtos em galpões próximos ao consumidor final e despachar os pedidos em nome da marca. Para funcionar, o 3PL precisa receber exatamente aquilo que um pedido tem de mais sensível: nome, endereço, telefone e e-mail de quem vai receber a caixa.
Foi essa base que vazou. A sequência divulgada é a seguinte:
Segunda-feira, 11 de agosto de 2026. A ShipMonk comunica à Trezor que sofreu um acesso não autorizado a sistemas que continham dados de pedidos.
Quarta-feira, 12 de agosto de 2026. A Trezor publica o comunicado oficial no seu blog e nas redes sociais, cerca de um dia depois de ser notificada, e envia e-mail individual a cada cliente afetado.
Escopo confirmado. Pedidos recebidos nos 90 dias anteriores a 8 de agosto de 2026 — ou seja, a janela aproximada de 10 de maio a 8 de agosto — despachados para sete países: Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.
Volume. 13.689 clientes no total: 11.742 com exposição completa (nome, e-mail, telefone e endereço de entrega) e 1.947 com exposição parcial (nome, cidade e e-mail).
Um ponto técnico que merece crédito onde é devido: o alcance do vazamento foi limitado pela política de retenção de 90 dias da Trezor, que a fabricante impõe contratualmente também aos seus parceiros de fulfillment. Sem essa regra, a mesma invasão teria exposto anos de histórico de pedidos em vez de três meses. É a diferença entre um incidente grave e um incidente catastrófico — e ela foi decidida muito antes de alguém invadir coisa alguma.
O que NÃO foi comprometido: os sistemas da própria Trezor, os dispositivos, o firmware, as frases de recuperação (seed), PINs, passphrases e chaves privadas. Nenhum fundo foi acessado por meio deste incidente. O que vazou é cadastro de entrega — dado sensível, sem dúvida, mas que não dá acesso a nenhuma carteira.
Quem foi afetado — e quem não foi
Este é o ponto que mais gerou dúvida entre nossos clientes nas últimas 24 horas, então vamos ser explícitos.
Foram afetados: clientes que compraram diretamente na loja oficial da fabricante (a eShop da Trezor) e receberam o pedido dentro da janela de 90 dias anteriores a 8 de agosto de 2026, nos sete países listados. Esses clientes receberam um e-mail individual da própria Trezor. Se você não recebeu esse e-mail, você não está na lista.
Não foram afetados: quem comprou por meio de revenda. Os pedidos feitos na KriptoBR não passam pela cadeia logística da fabricante em momento algum — nem pela ShipMonk, nem por qualquer outro operador contratado por ela. Não há um subconjunto de clientes nossos “em risco menor” ou “parcialmente exposto”: a nossa base simplesmente não estava lá para vazar.
Vale registrar também o que a Trezor comunicou sobre a natureza do episódio: segundo a empresa, esta é a primeira vez desde a sua fundação, em 2013, que um vazamento expôs telefones e endereços de entrega de clientes. Não é um histórico de descuido reincidente — é um fornecedor que falhou.
Por que os clientes da KriptoBR estão fora disso
A resposta curta é: porque somos uma revenda totalmente independente, e não um braço de distribuição da fabricante.
Na prática, a diferença é essa. Quando você compra direto no site de uma fabricante, o seu pedido nasce dentro do sistema dela e é executado pela cadeia logística dela — o que hoje quase sempre significa um operador terceirizado num galpão em outro país, com os seus dados dentro. Quando você compra na KriptoBR, o caminho é outro:
- Compramos os equipamentos por importação oficial e mantemos estoque próprio no Brasil.
- O seu pedido é registrado, separado e despachado a partir da nossa operação, com os nossos sistemas.
- Os dados do cliente não são repassados à fabricante — nem aos operadores logísticos contratados por ela. Nunca foram, em nenhuma hipótese, desde 2017.
A Trezor não tem, e nunca teve, acesso à nossa base de pedidos. Ela sabe quantos aparelhos vendemos; não sabe para quem. Isso não é uma medida criada em reação ao incidente desta semana — é como a empresa opera desde o primeiro pedido, e é justamente o tipo de decisão cujo valor só fica visível num dia como o de hoje.
O seu pedido começou e terminou dentro da KriptoBR. Ele não passou, em momento nenhum, pelo sistema que foi invadido.
Um registro de transparência: a Trezor faz parte do nosso portfólio e continua fazendo. Este incidente não ocorreu no produto, no firmware nem no modelo de segurança das carteiras — ocorreu na logística de uma operação de e-commerce, um problema que qualquer varejista do mundo pode ter. Nossa avaliação técnica sobre os dispositivos Trezor permanece exatamente a mesma de antes de 11 de agosto.
O padrão que ninguém comenta: o elo rompido é sempre o terceiro
Quando um vazamento como esse acontece, a leitura apressada é “as fabricantes de carteira são descuidadas com dados”. O histórico dos últimos seis anos conta uma história mais específica e mais útil: em nenhum dos grandes vazamentos do setor a fabricante foi invadida diretamente. O que rompeu, todas as vezes, foi uma empresa terceirizada que precisava dos dados dos clientes para prestar um serviço.
| Data |
Empresa afetada |
Terceiro que foi invadido |
Dados expostos |
Escala documentada |
| jul/2020 | Ledger | Plataforma de e-commerce e marketing | E-mails; nome, endereço postal, telefone e produtos comprados | ~1 milhão de e-mails e 9.500 registros detalhados, segundo a empresa; a base circulou publicamente em dez/2020, com cerca de 270 mil endereços físicos |
| abr/2022 | Trezor | MailChimp (provedor de e-mail marketing) | E-mails, nomes e IPs de assinantes | Onda de phishing com uma versão falsa do Trezor Suite; a Trezor abandonou o fornecedor em seguida |
| jan/2024 | Trezor | Portal de suporte terceirizado | Nome/apelido e e-mail | ~66 mil contatos potencialmente exfiltrados |
| jan/2026 | Ledger | Global-e (merchant of record das vendas internacionais) | Nome e dados de contato | Número de afetados não divulgado; a Ledger confirmou que os seus próprios sistemas não foram invadidos |
| ago/2026 | Trezor | ShipMonk (fulfillment/logística) | Nome, endereço de entrega, telefone e e-mail | 13.689 clientes em 7 países, incluindo o Brasil |
Cinco incidentes, duas fabricantes, seis anos — e cinco fornecedores diferentes. Provedor de e-mail, portal de suporte, processador de pagamento internacional, operador logístico. O denominador comum não é negligência de uma marca específica: é a arquitetura de um e-commerce global, que precisa espalhar dados de clientes por uma cadeia de prestadores para conseguir entregar uma caixa em sete países.
É exatamente esse o ponto que interessa para quem compra por revenda. Quanto menor a cadeia por onde o seu dado circula, menor a superfície de ataque. Um pedido que nasce e termina numa operação nacional, com estoque próprio, tem uma fração das mãos que um pedido internacional atravessa. Não é uma questão de uma empresa ser mais competente que a outra — é uma questão de quantas portas existem.
Por que endereço vaza pior que senha
Existe uma hierarquia de gravidade em vazamento de dados que raramente é explicada, e ela importa muito aqui.
Senha vazou? Você troca a senha. Cartão vazou? O banco emite outro. Endereço residencial, nome completo e telefone não se trocam. Uma vez públicos, são públicos para sempre. E quando esse conjunto vem acompanhado da informação de o que você comprou, ele deixa de ser cadastro e vira outra coisa: uma lista de pessoas que provavelmente guardam criptomoedas em casa, com o endereço da casa junto.
Não é hipótese. O caso Ledger de 2020 é o manual de tudo que vem depois de um vazamento desse tipo:
- Dispositivos falsos pelo correio. Vítimas receberam em casa “substituições” de carteira, em embalagem com papel timbrado imitando o da fabricante, acompanhadas de uma carta pedindo que a frase de recuperação fosse digitada no aparelho novo. O hardware era adulterado e existia para roubar a seed.
- Cartas físicas de phishing. Anos depois, relatórios de segurança ainda documentavam correspondência impressa, em papel timbrado falsificado, direcionando vítimas a falsas centrais de suporte.
- Uma base que nunca morre. Campanhas de phishing usando aquela mesma lista de 2020 continuavam ativas em 2024 e 2025. Vazamento de endereço não tem prazo de validade: vira infraestrutura permanente para o crime.
E há o risco mais grave, que o setor aprendeu a chamar de wrench attack — o ataque da chave inglesa: quando o criminoso desiste de quebrar a criptografia e simplesmente vai até a pessoa. Segundo levantamento da Chainalysis, ataques violentos contra detentores de criptomoedas somaram mais de US$ 30 milhões roubados apenas no primeiro semestre de 2026, num ritmo que coloca o ano na trajetória de recorde. Um dos casos documentados envolveu um criminoso se passando por entregador para conseguir acesso à residência da vítima.
Por que isso muda o cálculo: uma lista de compradores de hardware wallet com endereço completo não é um problema de privacidade abstrato. É um mapa. É por isso que, para nós, a discussão sobre dados de cliente nunca foi burocrática — e por isso que a nossa caixa não leva o nome da loja nem o produto descrito por fora. Ninguém no trajeto entre o nosso estoque e a sua porta precisa saber o que tem dentro.
O dado mais seguro é o que não existe: como a KriptoBR opera
Nenhuma empresa consegue prometer que nunca será alvo de um ataque. O que uma empresa consegue controlar é quanto dado existe para ser roubado, e por quanto tempo. É nisso que trabalhamos desde 2017, e são práticas que já estavam valendo muito antes do incidente desta semana:
- Caixa descaracterizada. A sua encomenda não leva o nome KriptoBR, nem logo, nem qualquer indicação de que ali dentro existe uma carteira de criptomoedas.
- Conteúdo não discriminado. O produto não aparece descrito na parte externa do pacote. Nem o entregador, nem o porteiro, nem o vizinho sabem o que chegou para você.
- Exclusão automática em 180 dias. Os dados do seu pedido desaparecem sozinhos da nossa base (site) após 180 dias. Não é um processo manual que alguém precisa lembrar de executar: é o comportamento padrão do sistema.
- Exclusão antecipada para quem paga em criptomoedas. A partir do 8º dia útil após o recebimento da caixa, você pode solicitar a exclusão dos seus dados. Esse prazo curto existe apenas para cobrir eventual extravio, troca ou garantia imediata no transporte.
- Zero compartilhamento com fabricantes. Fabricantes, distribuidores e parceiros não recebem a nossa base de clientes. Nunca receberam.
Repare como essas cinco práticas conversam diretamente com o que aconteceu na ShipMonk. A retenção de 90 dias da Trezor é o que impediu que anos de pedidos vazassem; a nossa retenção de 180 dias — combinada com a exclusão antecipada sob demanda — cumpre o mesmo papel do nosso lado. E a caixa sem identificação é a resposta ao vetor mais assustador do vazamento de endereços: o criminoso que aparece na porta fingindo ser entregador.
Como receber sem informar endereço nenhum
Para quem prefere que o endereço residencial não entre em sistema algum — nem no nosso —, existem duas alternativas disponíveis direto no site, na hora de fechar o pedido. Não é preciso pedir autorização nem abrir chamado no suporte:
Clique e Retire, dos Correios. Em vez do seu endereço, a entrega é destinada à agência dos Correios que você escolher — basta preencher os dados no formato que os Correios pedem. Você é avisado quando o pacote chega e retira apresentando documento oficial com foto, dentro do prazo informado pela agência. O serviço é gratuito.
Retirada em mãos, com a gente. Nossa sala fica na Avenida Paulista, 1471 — São Paulo/SP. Você seleciona a retirada no site e busca o pedido pessoalmente: sem transporte, sem endereço de entrega, sem intermediário nenhum na cadeia.
Combinadas com pagamento em criptomoedas e com o pedido de exclusão a partir do 8º dia útil, essas opções reduzem o rastro do seu pedido praticamente a zero.
Comprou direto no site da fabricante? O que fazer agora
Se você é um dos clientes que compraram diretamente na eShop da Trezor no período afetado, seus fundos não estão em risco por causa deste vazamento — mas a sua exposição a golpes aumentou. O que fazer:
Confirme pelo canal oficial, não pelo e-mail. A Trezor avisou individualmente os afetados. Se você recebeu um e-mail sobre o assunto, não clique em links dele: digite trezor.io você mesmo no navegador e confira o comunicado no blog oficial.
Trate qualquer contato inesperado como golpe até prova em contrário. Nos próximos meses, quem estava nessa lista tende a receber e-mails, SMS, mensagens de WhatsApp e ligações de gente que sabe o seu nome, o seu endereço e o que você comprou. Saber esses dados não prova que a mensagem é legítima — foi exatamente isso que vazou.
Nunca digite a sua frase de recuperação em lugar nenhum. Nem para “verificar se você foi afetado”, nem para “migrar para um dispositivo seguro”, nem para “validar sua carteira”. Nenhuma empresa séria pede isso, em nenhuma circunstância. A seed só é usada na tela do próprio dispositivo.
Desconfie de qualquer dispositivo que chegar sem você ter comprado. Foi o golpe mais cruel do vazamento da Ledger em 2020: caixas com aparência oficial, entregues em casa, com aparelho adulterado dentro. Se chegar uma “substituição”, uma “atualização de hardware” ou um “brinde” que você não pediu, não use. Fotografe e comunique ao suporte oficial.
Considere ativar uma passphrase BIP-39. É a camada extra que cria uma carteira separada, derivada de uma palavra que nunca é armazenada no dispositivo. Se um dia alguém obtiver a sua seed, ela sozinha não abre nada.
Reveja a sua exposição física. Avise quem mora com você e, se for o caso, a portaria: não receber encomendas não solicitadas, não confirmar a terceiros o que chega para você, não dar informação por telefone. Vale também revisar o que você comenta publicamente sobre patrimônio em cripto.
Sobre trocar de dispositivo: este vazamento não compromete a sua seed e não exige gerar uma carteira nova. É uma diferença importante em relação a falhas de entropia, como o caso COLDCARD de julho de 2026, em que a própria chave nascia previsível e a migração era obrigatória. Aqui, o que vazou foi cadastro — o seu dispositivo e a sua frase continuam íntegros.
Como reconhecer o golpe que vem depois de um vazamento
Toda base vazada é seguida por uma onda de tentativas de fraude, e ela não atinge só quem foi afetado: os criminosos disparam para listas amplas, misturando dados vazados com endereços obtidos de qualquer outra fonte. Por isso vale para todo mundo — inclusive para quem comprou na KriptoBR.
Os sinais que denunciam um golpe
- Urgência fabricada. “Sua carteira foi comprometida”, “atualização de segurança obrigatória”, “aja em até 24 horas ou perderá o acesso”. Pressa é a ferramenta principal do golpista, porque ela impede a checagem.
- Qualquer pedido da sua frase de recuperação. Não existe motivo legítimo. Ponto final. Nem verificação, nem migração, nem sincronização, nem reembolso.
- Links em mensagens não solicitadas. Não clique. Digite o endereço você mesmo: kriptobr.com e trezor.io. Atenção especial a domínios parecidos, com letras trocadas ou terminações diferentes.
- Contato por telefone ou WhatsApp em nome do suporte. Com nome, telefone e endereço em mãos, o golpista soa convincente. Nem a KriptoBR nem a Trezor iniciam contato pedindo dados sensíveis por esses canais.
- Correspondência física com aparência oficial. Carta, QR Code impresso, aparelho “de reposição”. É raro, mas já aconteceu em escala neste setor.
- Anexos e instaladores. Software de carteira se baixa apenas do site oficial da fabricante, nunca de um link recebido por mensagem.
Regra que resolve 95% dos casos: ninguém — nunca, em nenhuma hipótese, por nenhum canal — precisa das suas palavras. Se alguém pede, é golpe. Não existe exceção a essa regra, e ela é a única que você precisa lembrar sob pressão.
Recebeu algo suspeito em nome da KriptoBR? Encaminhe para o nosso suporte antes de responder. A gente confirma se é legítimo — e, se não for, alerta os outros clientes.
Perguntas frequentes
Eu comprei minha Trezor na KriptoBR. Meus dados vazaram?
Não. O incidente ocorreu na ShipMonk, operadora logística contratada pela fabricante para despachar pedidos feitos diretamente na loja oficial dela. Pedidos feitos na KriptoBR são separados e despachados a partir do nosso estoque próprio no Brasil, e os dados dos nossos clientes nunca são enviados à fabricante nem aos operadores logísticos dela. A nossa base não estava no sistema invadido.
Meus bitcoins estão em risco por causa desse vazamento?
Não. Nenhum dispositivo, firmware, frase de recuperação, PIN ou chave privada foi comprometido. O que vazou foi cadastro de entrega: nome, endereço, telefone e e-mail. Esse conjunto não dá acesso a nenhuma carteira. O risco real que ele cria é de golpes de engenharia social — phishing, contato falso em nome do suporte e, em casos extremos, exposição física — e não de acesso direto aos fundos.
Preciso trocar de dispositivo ou gerar uma seed nova?
Não. Este vazamento não afeta a geração nem a segurança da sua frase de recuperação. É diferente de falhas de entropia (RNG), como o caso COLDCARD de julho de 2026, em que a chave nascia previsível e a migração dos fundos era obrigatória. Aqui, o dispositivo e a seed continuam íntegros; o que mudou foi a exposição dos seus dados cadastrais.
Como sei se fui afetado pelo vazamento da Trezor?
A Trezor contatou individualmente, por e-mail, todos os clientes afetados. Se você não recebeu essa comunicação, você não está na lista. Só foram atingidos pedidos feitos diretamente na loja oficial da fabricante e recebidos nos 90 dias anteriores a 8 de agosto de 2026, nos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. Importante: confira o comunicado digitando trezor.io no navegador, e não clicando em links de e-mails recebidos.
Isso significa que a Trezor não é mais segura?
Não. O incidente não ocorreu no produto, no firmware nem no modelo de segurança das carteiras — ocorreu na cadeia logística de uma operação de e-commerce, um risco que qualquer varejista global corre. Vale notar que a política de retenção de 90 dias imposta pela Trezor aos seus parceiros foi justamente o que limitou o alcance do vazamento a três meses de pedidos, em vez de anos. A Trezor segue no portfólio da KriptoBR e a nossa avaliação técnica sobre os dispositivos permanece a mesma.
Por quanto tempo a KriptoBR guarda os meus dados?
Os dados do seu pedido são excluídos automaticamente da nossa base (site) após 180 dias — é o comportamento padrão do sistema, não um processo manual. Quem paga em criptomoedas pode solicitar a exclusão antes disso, a partir do 8º dia útil após o recebimento da caixa; esse prazo mínimo existe apenas para cobrir extravio, troca ou garantia imediata no transporte. E, em qualquer cenário, os seus dados não são compartilhados com fabricantes, distribuidores ou parceiros.
Dá para comprar sem informar o meu endereço?
Dá, e sem precisar falar com o suporte. Na hora de fechar o pedido você pode escolher o Clique e Retire dos Correios — a entrega vai para a agência que você indicar, e você retira com documento oficial com foto — ou a retirada em mãos na nossa sala, na Avenida Paulista, 1471, em São Paulo. Combinado com pagamento em criptomoedas e com o pedido de exclusão a partir do 8º dia útil, o rastro do pedido fica praticamente nulo.
Recebi um e-mail dizendo que preciso validar minha carteira. É legítimo?
Não. Nenhuma empresa legítima — fabricante, revenda ou suporte — pede que você digite a sua frase de recuperação para validar, verificar, migrar ou proteger uma carteira. Qualquer mensagem que peça as suas palavras é golpe, sem exceção. O mesmo vale para dispositivos “de reposição” que chegam sem você ter comprado: não use, e comunique ao suporte oficial.
Privacidade não deveria ser um item opcional
A KriptoBR é a maior e mais antiga revenda oficial de hardware wallets do mundo, no mercado desde 2017 — Trezor, Ledger e SecuX com importação oficial, lacres íntegros, caixa descaracterizada e suporte em português.
Conheça as hardware wallets oficiais
Fontes e leituras recomendadas:
Trezor — comunicado oficial sobre o incidente ·
The Block — cronologia e números do caso ShipMonk ·
Decrypt — Trezor customer data exposed in shipping partner breach ·
Chainalysis — ataques físicos contra detentores de cripto em 2026 ·
Ledger — comunicado sobre o vazamento de julho de 2020 ·
BleepingComputer — publicação da base da Ledger em dezembro de 2020 ·
Trezor — detalhes do incidente da MailChimp (2022) ·
The Block — vazamento via Global-e (janeiro de 2026) ·
CryptoSlate — por que dados de entrega são o pior tipo de vazamento para quem tem cripto ·
Cybersecurity News — Trezor ShipMonk data breach.
Este conteúdo tem caráter informativo e educacional e não constitui recomendação de investimento.
