VKSECURITY A Trezor não vazou — o fornecedor dela vazou. E a conta é sua
13.789 clientes da Trezor (brasileiros incluídos) tiveram nome, e-mail e endereço expostos — num vazamento que nasceu na transportadora, não na fabricante. O que a LGPD espera de você sobre os dados que entrega a terceiros.
A Trezor, uma das fabricantes mais conhecidas de “cofres físicos” para criptomoedas, confirmou o vazamento de dados de 13.789 clientes — brasileiros incluídos. E o caso é uma aula sobre um risco que quase toda empresa subestima: o dado não vazou da Trezor. Vazou de um fornecedor dela.
O que aconteceu
A Trezor vende hardware wallets — aparelhinhos que guardam as chaves de criptomoedas offline, longe de hackers. O produto é seguro; o problema foi outro. Quem sofreu a invasão foi a ShipMonk, a empresa de logística que embala e envia os produtos da Trezor — e que, para entregar, guardava os dados de contato e endereço dos clientes.
Vazaram, ao todo: - 11.742 clientes com dados completos: nome, e-mail, telefone e endereço de entrega. - 1.947 clientes com dados parciais: nome, cidade e e-mail.
O incidente atingiu compras feitas entre 10 de maio e 8 de agosto. A Trezor foi clara num ponto importante: os aparelhos e as criptomoedas dos clientes continuam seguros — não vazou nada que dê acesso ao dinheiro. O problema é o que o vazamento habilita a seguir.
Por que endereço de entrega é pior do que parece
Numa loja comum, um vazamento de endereço é ruim. Para quem comprou um cofre de criptomoedas, é perigoso em dois níveis:
- Phishing sob medida. Sabendo que você é cliente da Trezor, seu nome e seu e-mail, o golpista manda uma mensagem que parece 100% oficial (“detectamos um problema na sua carteira, confirme aqui”) e tenta te induzir a digitar o backup da carteira num site falso — o que entrega o dinheiro de verdade. Por isso a Trezor reforçou: nunca insira o backup da sua carteira em nenhum site.
- Risco físico. Endereço de entrega + perfil de quem guarda cripto em casa é informação que interessa a criminosos do mundo real, não só digital. A própria Trezor anunciou que vai criar uma opção de “entrega anônima” justamente por isso.
A lição de compliance para qualquer empresa
Esse é o ponto que interessa a todo gestor, mesmo quem não vende cripto: você é responsável pelos dados que confia a terceiros. Sua empresa pode ter a melhor segurança do mundo, mas se a transportadora, o sistema de e-mail marketing, o call center ou a ferramenta de nota fiscal vazarem os dados dos seus clientes, o cliente vazado é seu — e, no Brasil, a LGPD trata isso com seriedade.
Pela LGPD, quando você contrata um fornecedor que trata dados dos seus clientes (o “operador”), a responsabilidade não terceiriza junto. O que a lei espera de você:
- Mapear quem toca nos dados dos seus clientes. Transportadora, nuvem, CRM, contabilidade — cada fornecedor que recebe dado pessoal é um elo. Você sabe listar todos?
- Ter contrato com cláusula de proteção de dados com cada um deles, definindo o que podem fazer e a obrigação de avisar em caso de incidente.
- Exigir que avisem rápido quando algo acontecer — porque o prazo de comunicação à ANPD e aos titulares começa a correr, e a desculpa “foi o fornecedor” não segura.
- Ter um plano de resposta que inclua incidentes que nascem fora de casa.
O caso Trezor é o retrato disso: a empresa fez o dever de casa no produto, mas o elo mais fraco estava na cadeia de fornecedores. Segurança e conformidade não terminam no seu muro — terminam no muro do fornecedor mais descuidado.
Fontes
- Trezor — comunicado oficial sobre o incidente no fornecedor de logística (ShipMonk): trezor.io/blog
- Lei nº 13.709/2018 (LGPD) — responsabilidade do controlador e do operador: planalto.gov.br
