Trezor expõe endereços físicos de clientes por falha na cadeia logística
A Trezor confirmou publicamente em 13 de agosto de 2026 que 13.689 clientes tiveram dados de entrega expostos após sua parceira logística ShipMonk ser comprometida via CVE-2026-72898, uma SQL injection crítica (CVSS 10.0) explorada como zero-day no Metabase. Os dispositivos e chaves privadas dos clientes não foram afetados, mas endereços físicos de donos de carteiras de criptoativos estão agora em mãos desconhecidas — combinação historicamente associada a ataques físicos e de engenharia social de alto impacto.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O vetor raiz não foi uma falha da Trezor nem da ShipMonk diretamente: foi uma vulnerabilidade zero-day (CVE-2026-72898, CVSS 10.0) na plataforma de analytics Metabase, explorada antes de qualquer patch disponível. A ShipMonk foi notificada pela própria Metabase em 6 de agosto; a Trezor foi avisada em 10 de agosto. A cadeia de notificação funcionou, mas a janela de exposição já havia ocorrido.
A política de retenção de 90 dias da Trezor, aplicada contratualmente também à ShipMonk, limitou o escopo ao período de 10 de maio a 8 de agosto de 2026. Sem essa política, o universo exposto seria substancialmente maior — potencialmente toda a base histórica de clientes dos países cobertos pela ShipMonk.
O conjunto de dados vazado — nome completo, endereço de entrega, telefone e e-mail de compradores confirmados de hardware wallet — é particularmente sensível no contexto de cripto. Dado o histórico documentado de ataques físicos a detentores de cripto (CertiK registrou 52 ataques físicos verificáveis só no primeiro semestre de 2026) e o precedente do caso Ledger 2020-2021 (fake devices enviados após vazamento similar), o risco de vitimização secundária é real e imediato.
A afirmação da Trezor de que este é 'o primeiro breach em 13 anos a expor telefones e endereços físicos' é tecnicamente defensável mas enganosa no contexto completo: a empresa já teve dados de 66.000 usuários comprometidos em janeiro de 2024 (portal de suporte terceirizado) e 106.856 clientes afetados em abril de 2022. A diferença desta vez é a categoria de dado — localização física — não a novidade de um incidente de terceiro.
O ShipMonk detinha certificação SOC 2 Type II — padrão de segurança auditado — e foi comprometido via zero-day em ferramenta de analytics de terceiro. Isso indica que certificações de conformidade não cobrem o risco da superfície de ataque de subcontratados tecnológicos (fourth-party risk), uma lacuna sistêmica na cadeia de fornecimento de logística.
Não há ator ou grupo reidentificado como responsável pelo ataque ao Metabase/ShipMonk. A mesma vulnerabilidade CVE-2026-72898 foi explorada contra ao menos outras três empresas (n8n, Kilo Code, Framework) num curto intervalo, sugerindo operação coordenada ou ferramenta de exploração compartilhada — mas atribuição ainda não foi publicada por nenhuma fonte técnica confiável.
Analysis
O incidente com a Trezor é, tecnicamente, um breach de quarta parte (fourth-party): o atacante não comprometeu a Trezor nem diretamente a ShipMonk, mas uma ferramenta SaaS de analytics (Metabase) usada pela ShipMonk. O CVE-2026-72898 é uma SQL injection crítica no endpoint de reset de senha do Metabase, explorável sem autenticação, com CVSS 10.0 nas três métricas (v2, v3.1 e v4.0). A CISA adicionou a falha ao catálogo KEV em 10 de agosto, exigindo mitigação federal até 14 de agosto — dois dias antes do prazo, a Trezor já estava emitindo notificações aos clientes.
A Trezor confirmou os números com granularidade: 11.742 clientes com exposição completa (nome, e-mail, telefone e endereço) e 1.947 com exposição parcial (nome, cidade e e-mail), totalizando 13.689. Esse número é consistente em todas as fontes consultadas — comunicado oficial, BleepingComputer, CoinDesk, BeInCrypto e CryptoTicker — o que aumenta a confiança na exatidão. Não há discrepância entre o número alegado e o confirmado: a Trezor divulgou o número diretamente, sem intermediário não confiável.
A política de retenção de 90 dias da Trezor merece atenção analítica. Ela funcionou como controle mitigador e restringiu a exposição ao período de 10 de maio a 8 de agosto de
2026. No entanto, a adoção da mesma política por parceiros logísticos é contratual — não técnica. Não há evidência de que a Trezor ou qualquer auditor externo tenha verificado se a ShipMonk realmente deletava dados no prazo antes deste incidente. A política declarada e a prática real podem divergir, e isso não foi esclarecido pela Trezor no comunicado.
A afirmação de que é 'o primeiro breach a expor telefones e endereços físicos desde 2013' é factualmente imprecisa quando colocada em contexto histórico completo. A CoinDesk e a própria Trezor admitem dois incidentes anteriores relevantes: 66.000 usuários afetados em janeiro de 2024 via portal de suporte terceirizado, e 106.856 clientes comprometidos em abril de
2022. A distinção que a Trezor faz é de tipo de dado — localização física pela primeira vez — o que é relevante, mas o framing de 'primeira vez em 13 anos' é uma escolha narrativa que minimiza o histórico de incidentes via terceiros.
O risco imediato para os afetados não é a perda de cripto diretamente — os dispositivos e chaves privadas não foram comprometidos. O risco é de vitimização secundária: phishing altamente personalizado (o atacante sabe que a pessoa tem uma hardware wallet, onde mora e seu telefone), scam mail físico, e — no cenário mais grave — abordagem presencial. O caso Ledger de 2020-2021 é o referencial direto: após vazamento similar de dados de e-commerce, usuários receberam fake Ledger devices pelo correio e foram alvo de phishing que alegava 'fusão Ledger-Trezor'. O mesmo playbook é aplicável aqui, possivelmente com maior precisão dado que os dados incluem telefone.
O fato de que a mesma vulnerabilidade (CVE-2026-72898) foi usada contra ao menos quatro organizações diferentes (n8n, Kilo Code, Framework, ShipMonk/Trezor) em um intervalo de aproximadamente duas semanas sugere exploração coordenada ou uso de exploit compartilhado — não ataques oportunistas isolados. Nenhuma fonte técnica consultada atribuiu os ataques a um grupo específico até o momento da publicação deste relatório.
Timeline
- 02 Aug 2026Incidente na Kilo Code via CVE-2026-72898 — indica que a exploração do Metabase já estava ativa semanas antes do comprometimento da ShipMonk.
- 06 Aug 2026Metabase divulga o zero-day CVE-2026-72898 e notifica clientes, incluindo a ShipMonk, sobre acesso não autorizado a dados de suas contas e clientes via SQL injection no endpoint /reset_password.
- 08 Aug 2026n8n divulga comprometimento de 136 registros via mesma vulnerabilidade do Metabase. Metabase aplica patch e invalida sessões ativas.
- 10 Aug 2026ShipMonk notifica a Trezor sobre o acesso não autorizado aos seus sistemas com dados de pedidos de clientes. CISA adiciona CVE-2026-72898 ao catálogo KEV, com prazo de mitigação até 14 de agosto.
- 13 Aug 2026Trezor publica post oficial em seu blog e comunica o incidente via X (ex-Twitter). Notificações individuais enviadas a todos os 13.689 clientes afetados via help@trezor.io. BleepingComputer e múltiplos veículos especializados cobrem o caso.
Data involved
Impact
13.689 clientes da Trezor em sete países (EUA, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal) têm nome completo, endereço físico de entrega, e-mail e/ou telefone expostos. Desse total, 11.742 têm exposição completa dos quatro campos. Os afetados são compradores recentes de hardware wallets — subconjunto identificável como detentores de ativos cripto, o que eleva substancialmente o valor do conjunto de dados para atores mal-intencionados. No Brasil especificamente, clientes afetados podem estar sujeitos à LGPD e potencialmente à obrigação de notificação à ANPD por parte da Trezor ou de sua representação local, dado que dados pessoais de cidadãos brasileiros foram comprometidos por evento com 'risco relevante'. Nenhuma manifestação regulatória foi localizada até o fechamento deste relatório.
Technical links
Recommendations
- Clientes afetados devem tratar qualquer contato não solicitado — e-mail, SMS, ligação ou correspondência física — que mencione Trezor, hardware wallet ou criptoativos como suspeito, independentemente de parecer legítimo. Verificar sempre pelo canal oficial trezor.io antes de qualquer ação.
- Qualquer organização que utilize Metabase (cloud ou self-hosted) deve verificar imediatamente se está em versão afetada pelo CVE-2026-72898 (v1.58+) e aplicar o patch disponível. Self-hosted: revogar sessões ativas, rotacionar credenciais de bancos de dados conectados e revisar logs de query do período 2–13 de agosto de 2026.
- Empresas com parceiros logísticos que processam dados de clientes devem auditar tecnicamente — não apenas contratualmente — se esses parceiros cumprem as políticas de retenção declaradas e se o inventário de ferramentas SaaS de terceiros (como plataformas de analytics) está incluso no escopo de avaliação de risco de fornecedores (fourth-party risk).
- Organizações que processam dados de residentes brasileiros e tenham sofrido ou sejam parceiras de quem sofreu este incidente devem avaliar a obrigação de notificação à ANPD, dado que o vazamento inclui dados de clientes no Brasil com potencial 'risco relevante' conforme a Resolução CD/ANPD nº 15/2024.
- Clientes de hardware wallets (não só Trezor) devem considerar a adoção de endereços de entrega que não sejam sua residência principal para futuras compras — cofre, caixa postal, endereço comercial — como mitigação estrutural contra o risco de geolocalização via dados logísticos.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
A Trezor não divulgou como o atacante acessou especificamente os dados da ShipMonk dentro do Metabase — apenas que o Metabase foi o vetor. Logs de acesso da ShipMonk ao Metabase, se tornados públicos, resolveriam essa lacuna.
Não foi confirmado se os dados exfiltrados foram publicados, vendidos ou usados em alguma operação subsequente. Monitoramento de fóruns de ameaças e dark web pode identificar circulação dos dados.
A Trezor não confirmou se notificou as autoridades de proteção de dados dos sete países afetados (ANPD no Brasil, ICO no Reino Unido, IMY na Suécia, etc.). Manifestação oficial dessas autoridades resolveria a lacuna regulatória.
Não há atribuição do ataque ao Metabase/ShipMonk a nenhum ator ou grupo. Análise técnica de TTPs por parte de pesquisadores com acesso aos logs do Metabase poderia estabelecer se os múltiplos ataques ao CVE-2026-72898 foram da mesma origem.
A ShipMonk não publicou comunicado público próprio — toda a informação vem de e-mails de notificação revisados por BleepingComputer. Um comunicado oficial da ShipMonk poderia revelar escopo total do incidente além dos clientes Trezor.
Não se sabe quantos outros clientes da ShipMonk (além da Trezor) foram afetados pelo mesmo comprometimento do Metabase. A ShipMonk é parceira logística de múltiplas marcas de e-commerce.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.