A Trezor, renomada fabricante de carteiras físicas de criptomoedas, emitiu um alerta urgente aos seus usuários após identificar um esquema de phishing sofisticado. Nessa nova onda de ataques, invasores conseguiram explorar o formulário de contato disponível no site oficial da empresa para enviar e-mails fraudulentos, simulando respostas autênticas da equipe de suporte. O objetivo é claro: enganar os clientes para que revelem suas frases-semente (seed phrases) e, assim, roubem seus fundos.
Como funcionou o golpe
Os criminosos enviaram pedidos de suporte por meio do formulário legítimo da Trezor, utilizando endereços de e-mail de usuários reais como remetentes. Isso fez com que o sistema de resposta automática da empresa gerasse e-mails que pareciam oficiais. A mensagem continha instruções para que o destinatário inserisse sua frase-semente em um link supostamente seguro, disfarçado de atendimento ao cliente. No momento em que o usuário inseria sua seed phrase, todos os seus ativos ficavam imediatamente vulneráveis ao controle total dos hackers.
Segundo a Trezor, todo o processo ocorreu sem que qualquer invasor tivesse acesso direto aos sistemas internos ou banco de dados da empresa — a falha estava na confiança automática do formulário que disparava as respostas. Ainda assim, o episódio levanta preocupações sobre a segurança de fluxos automatizados de atendimento em plataformas online.
Assim que a atividade suspeita foi detectada, a equipe de segurança da Trezor divulgou um aviso público orientando todos os clientes a ignorar qualquer mensagem que solicitasse sua seed phrase. A empresa reafirmou em sua comunicação que nunca solicita esse tipo de informação — seja por e-mail, chat, telefone ou rede social — e reforçou que, caso os usuários tenham dúvidas, devem procurar o suporte somente pelos canais oficiais.
Além de alertar quanto à fraude, a Trezor recomendou práticas essenciais de segurança:
- Nunca compartilhe sua seed phrase — seja por qualquer meio eletrônico.
- Verifique o remetente do e-mail antes de clicar em links ou baixar anexos, observando erros sutis em domínios falsos.
- Utilize apenas canais oficiais — como o chatbot Hal ou o site da Trezor.
- Desconfie de tom urgente ou ameaçador, que é uma tática comum usada por golpistas para induzir respostas precipitadas.
- Nunca informe sua seed phrase em interfaces online, apenas no dispositivo físico, quando solicitado diretamente por ele.
Escalada de engenharia social
O incidente evidenciou o refinamento atual das técnicas de engenharia social. Hoje, os golpistas combinam diversas abordagens — e-mail, telefonema (vishing), perfis falsos em redes sociais — para parecerem legítimos e ganhar a confiança do usuário. O uso de inteligência artificial para gerar vozes e textos camaradas torna a farsa ainda mais convincente. Assim, mesmo mensagens aparentemente “bem escritas” devem ser vistas com desconfiança.
A Trezor destacou ainda que esse ataque reforça a importância do chamado “Trusted Display” — a confirmação feita diretamente na tela do dispositivo físico. Qualquer instrução ou solicitação exibida fora do hardware — no navegador ou em mensagens externas — deve ser considerada potencialmente fraudulenta.
Lições para a comunidade cripto
Embora nenhum sistema esteja 100% imune, esse incidente reforça que a camada humana ainda é um dos principais pontos de vulnerabilidade. A melhor proteção continua sendo a educação: entender e aplicar boas práticas de segurança digital. Isso inclui:
- Colocar o mínimo de informações sensíveis online;
- Atualizar regularmente o firmware do dispositivo e o software de carteira;
- Armazenar seu seed phrase offline, em local seguro e físico;
- Conferir endereços, URLs e remetentes com atenção redobrada;
- Desconfiar de mensagens com pressão emocional (urgência, medo, promessa de solução rápida).
A Trezor, por sua vez, anunciou que revisará seu sistema de resposta automática, buscando formas de bloquear requisições suspeitas e identificar padrões anômalos de solicitação. A empresa também intensificará alertas em seus canais de comunicação, reforçando a campanha educativa sobre métodos de phishing cada vez mais sofisticados.
Essa campanha de phishing via formulário de suporte ressaltou que:
- Os invasores não precisam invadir sistemas diretamente: basta abusar de fluxos automatizados.
- A Trezor não teve falha em seus servidores, mas sim na utilização de respostas automáticas.
- O golpe visa exclusivamente extrair a seed phrase do usuário — a chave da carteira.
- A atitude mais segura é desconfiar de qualquer pedido de informação sensível e seguir apenas os canais oficiais.
- A melhor defesa continua sendo educação, precaução e o uso inteligente do hardware físico.
Para todos os usuários de criptomoedas, especialmente os que utilizam carteiras frias como a Trezor, este é um alerta claro: jamais compartilhe sua frase-semente. É preciso tratar cada comunicação online com o mínimo de suspeita. Afinal, proteger ativos digitais exige tanto atenção técnica quanto vigilância diária.
