O elo fraco da sua carteira bitcoin está no papel de entrega

A Trezor confirmou na quinta-feira que o vazamento de dados da ShipMonk, seu parceiro logístico, atinge agora 80.689 clientes, seis vezes mais que o divulgado em agosto. A exposição de nomes, telefones, e-mails e endereços de entrega ganha contornos mais sérios quando se olha o período atingido. Quem comprou entre novembro de 2019 e agosto de 2021 continua com o nome e o endereço armazenados em um banco de dados alheio muito além do prazo contratado para exclusão.

O que ficou exposto nos dados de envio

O contrato entre Trezor e ShipMonk determinava a exclusão dos registros 90 dias após a entrega, e a fabricante recebeu garantias por escrito de que a política era cumprida. Os registros de 2019 a 2021, no entanto, permaneceram nos servidores do parceiro. A cláusula existia no papel, mas não havia verificação independente. O cliente, anos depois da compra, não tem como inspecionar o banco de dados do fornecedor para confirmar o que foi apagado.

A Federal Trade Commission, o órgão de defesa do consumidor dos Estados Unidos, tem orientação clara sobre o assunto. A guia de proteção de dados para empresas se sustenta em cinco princípios. Saber quais informações estão armazenadas, manter apenas o necessário, proteger o que se mantém, descartar com segurança o que não serve mais e ter um plano para incidentes. A orientação é explícita ao afirmar que terceirizar a tarefa não isenta a empresa de entender como a informação é tratada. A garantia contratual do parceiro é parte do processo, mas a confirmação escrita não substitui a evidência de que cada sistema envolvido aplicou a regra.

A fraude que usa a entrega como isca

O risco principal do vazamento não é a perda imediata de fundos. É a abertura de uma porta para fraudes que usam engenharia social.

Com nome completo, endereço e número do pedido, o golpista ganha um repertório que o phishing genérico não tem. Um e-mail endereçado que menciona o produto comprado não se parece com a mensagem em massa. Correspondências físicas, já documentadas pela própria Ledger em suas campanhas de phishing, podem trazer QR codes e instruções para sites falsos que pedem as palavras de recuperação.

A Trezor afirma não haver, até o momento, casos confirmados de uso indevido.

Em 2021, atacantes passaram a enviar dispositivos falsificados para compradores que tiveram endereços vazados no ano anterior, quando um parceiro de e-commerce da Ledger expôs cerca de 300 mil contas. A peça, despachada pelos Correios, instruía a configuração com uma frase de recuperação controlada pelo golpista. O incidente de origem já era público há meses, mas a conversão em fraude física levou tempo. A lista de endereços continuava útil.

O endereço residencial permanece válido muito depois da compra esquecida.

Cartão de crédito se cancela com uma ligação. Endereço de entrega, não. Quando a pessoa se muda, o registro antigo ainda ajuda a amarrar bancos de dados ou a dar verossimilhança a uma fraude. O custo recai sobre o titular, que precisa separar a comunicação legítima da armadilha, e sobre a segurança de um dispositivo cuja camada criptográfica permanece intacta enquanto o mundo analógico ao redor se degrada.

A Trezor anunciou uma alternativa, mas ela ainda não saiu do papel.

A fabricante apresentou a Anonymous Delivery, modalidade de compra com retirada em armário, embalagem neutra, remetente genérico e eliminação automática dos identificadores logo após a entrega. A promessa é levar a opção à Europa ainda em setembro e aos Estados Unidos só no fim de 2026.

Trata-se de um remédio para os próximos compradores, não para os 80.689 que já estão expostos.

A responsabilidade do fabricante pelo serviço de entrega

Fabricantes de carteiras físicas escolhem o serviço de entrega e negociam o contrato. Essa escolha lhes dá poder de exigir comprovação real de descarte, não apenas cláusulas assinadas em papel. Coletar o mínimo indispensável no checkout, isolar os dados que não precisam circular juntos e impor auditorias periódicas ao parceiro logístico são medidas que, uma vez adotadas, encolhem a superfície de ataque. O problema é que a exigência do fabricante nem sempre desce para a cadeia de fornecimento. O cliente, anos depois da compra, não tem como inspecionar o que aconteceu no armazém.

A privacidade de quem compra uma carteira para se autocustodiar não pode se perder na rota entre o depósito e a porta de casa. A confiança do cliente seguiu estendida muito depois de a encomenda ter sido aberta, enquanto o fabricante não submeteu o parceiro logístico ao mesmo padrão de comprovação de descarte que aplica aos próprios sistemas.