Trezor: 347 mil usuários viram alvo de phishing após vazamento na Brevo
Um ataque à plataforma de email marketing Brevo permitiu o envio de phishing pela própria conta oficial de newsletter da Trezor, atingindo 347 mil endereços cadastrados. O email simulava um alerta crítico de segurança e levava a vítima a um app falso que pedia a frase de recuperação da carteira — 2.500 pessoas chegaram a clicar no link antes da Trezor derrubar o domínio.
O incidente começou fora da Trezor: criminosos comprometeram a Brevo, provedora de email marketing usada pela empresa, obtendo acesso a 120 contas de clientes, entre elas a que operava a newsletter oficial da Trezor. A partir dali dispararam uma campanha de phishing para os 347 mil endereços da base, usando o remetente legítimo help@trezor.io — o que torna o golpe muito mais difícil de identificar, já que passa por todos os filtros de reputação de domínio e chega com a aparência exata das comunicações reais da marca.
O conteúdo do email explorava medo técnico bem calibrado: alegava uma "vulnerabilidade no microcontrolador de hardware" das carteiras frias Trezor que exporia a seed phrase a ataques de força bruta, e instruía a vítima a baixar um aplicativo de "verificação" para proteger os fundos. Esse app, na prática, apenas coletava a frase de recuperação digitada pelo usuário. Em qualquer wallet self-custody, a seed phrase é a chave mestra: quem a obtém controla integralmente os fundos, sem possibilidade de reversão ou congelamento, já que não há intermediário bancário na cadeia.
A Trezor conseguiu derrubar o domínio malicioso em cerca de 20 minutos, mas nesse intervalo 2.500 usuários já haviam clicado no link — uma fração pequena da base total, porém suficiente para perdas relevantes dado o valor médio guardado em hardware wallets. O episódio ilustra um padrão recorrente em fraude digital: o elo mais fraco raramente é o produto principal (o hardware da Trezor não foi comprometido), e sim um fornecedor terceirizado com acesso a canais de comunicação confiáveis com o cliente final.
A defesa prática para o usuário é simples e absoluta: nenhuma empresa séria de custódia de cripto jamais pede a seed phrase por email, app ou site — ela só deve ser inserida, quando necessário, diretamente no dispositivo físico original. Alertas de segurança que criam urgência ("vulnerabilidade crítica", "aja agora") e pedem download de um app fora das lojas oficiais são bandeira vermelha clássica. Para empresas, o caso reforça a necessidade de MFA forte e segmentação de acesso em ferramentas de terceiros como ESPs e CRMs, e de um plano de comunicação rápido para avisar a base assim que um vazamento desse tipo é detectado, já que os 347 mil emails expostos seguem reutilizáveis em novas campanhas futuras.