O que aconteceu

Entre 9 e 10 de setembro, atacantes comprometeram um provedor de e-mail terceirizado usado no ecossistema da Trezor, citado como Brevo/Sendinblue. Com esse acesso em mãos, dispararam mensagens fraudulentas a partir do domínio legítimo da marca. O detalhe muda tudo: quem recebeu não tinha como estranhar o remetente.

O texto anunciava uma suposta vulnerabilidade batizada de "STM32 entropy" em microcontroladores e pedia uma ação imediata por meio de links. Conforme o material disponível, o domínio usado no golpe foi derrubado e a investigação segue em andamento.

O episódio pesa ainda mais por ser a segunda exposição envolvendo terceiros em poucas semanas. Antes dele, um incidente com a ShipMonk teria afetado cerca de 81 mil clientes.

Como o golpe funcionou

Não estamos falando do phishing tosco enviado de um endereço obviamente falso. Os e-mails passaram por SPF, DKIM e DMARC, os três controles que confirmam se uma mensagem tem autorização para trafegar em nome de um domínio.

Na prática, a mensagem sobrevivia até ao olhar de usuários cuidadosos, porque partia de uma estrutura autorizada. O que os atacantes exploraram foi confiança acumulada: a marca Trezor, um alerta técnico com cara de comunicado oficial e a pressa embutida em um único link.

O objetivo provável era conduzir holders de Bitcoin e donos de hardware wallets até páginas falsas, onde digitariam justamente o dado que nunca deveria sair do papel: a seed phrase.

Sinais de alerta

Mesmo quando o e-mail parece verdadeiro, alguns sinais devem acender o alerta:

• Urgência exagerada: mensagens que pressionam você a agir imediatamente.
• Link dentro do e-mail: principalmente quando pede confirmação, atualização ou verificação de carteira.
• Pedido de informação sensível: seed phrase, credenciais ou qualquer dado que permita recuperar a carteira.
• Assunto técnico assustador: termos como vulnerabilidade em microcontrolador servem para simular autoridade.
• Contexto incomum: se você não esperava o contato, trate como suspeito.

O que fazer agora

Usuários Trezor, e possivelmente BitBox, devem descartar qualquer link recebido por e-mail sobre esse tema. O caminho seguro é digitar o endereço oficial manualmente no Google Chrome, sem tocar nos botões da mensagem.

A seed phrase não vai em site, formulário, atendimento por e-mail ou página de "verificação". Ela é a chave de recuperação da carteira, e quem a obtém assume o controle total dos ativos, sem chance de reversão.

Empresas precisam ler o caso como um alerta de risco de terceiros. Provedores de e-mail, logística e atendimento viram porta de entrada mesmo quando a marca principal não sofreu invasão direta.

Checklist pratico

1. Não clique em links de e-mails que mencionem vulnerabilidade, atualização ou verificação da Trezor.
2. Acesse apenas canais oficiais digitando o endereço no navegador e confirme comunicados por mais de uma fonte confiável.
3. Revise processos internos com fornecedores: acesso, envio de e-mails, aprovações e resposta a incidentes.

Perguntas frequentes

O e-mail passar em SPF, DKIM e DMARC significa que é seguro?

Não. Esses controles indicam apenas que a mensagem saiu de uma infraestrutura autorizada. Se o provedor foi comprometido, o atacante herda essa confiança e a usa contra você.

Minha Trezor foi invadida automaticamente?

O material disponível descreve uma campanha de phishing por e-mail, não uma invasão automática da hardware wallet. O risco real está em clicar no link e entregar dados sensíveis.

O que nunca devo informar em uma página recebida por e-mail?

Seed phrase, credenciais e dados de recuperação da carteira, em hipótese alguma. Se uma página pedir isso, é golpe.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
Resumo fornecido sobre o incidente Trezor, Brevo/Sendinblue e ShipMonk