Em 13 de agosto, a Trezor divulgou que uma violação de dados em seu parceiro de envio, ShipMonk, expôs as informações pessoais de aproximadamente 13.700 clientes recentes, incluindo nomes, números de telefone e endereços residenciais.
O fundador da Binance, Changpeng Zhao (CZ), respondeu argumentando que o incidente mostra uma verdadeira vantagem das carteiras de autocustódia de software, uma vez que não requerem o envio de um dispositivo físico que vincule a identidade de um comprador a um endereço residencial.
Violação da Trezor Coloca Endereços Físicos em Foco
A Trezor divulgou o incidente após a ShipMonk, um fornecedor de logística, notificar a empresa na segunda-feira, 10 de agosto, sobre acesso não autorizado a sistemas que armazenam dados de pedidos de clientes.
CZ reagiu na quinta-feira, afirmando que o incidente destaca um perfil de risco diferente para a autocustódia de hardware e software.
“As carteiras de hardware são frequentemente consideradas ‘mais seguras’ do que as carteiras de software”, escreveu ele. “Embora eu ainda ache que isso é ‘geralmente verdadeiro’ em alguns aspectos específicos, este incidente reforça uma vantagem das carteiras de autocustódia de software.”
Ele apontou exemplos como Binance Web3 Wallet e Trust Wallet, que não requerem o envio de um dispositivo físico que vincule a identidade e o endereço de um usuário à posse de cripto.
CZ também não descartou as carteiras de hardware. “Não estou dizendo que as carteiras de hardware são ‘ruins’”, escreveu ele. “Apenas perfis diferentes.” Ele acrescentou que a YZiLabs é um investidor em muitas empresas de carteiras de hardware.
Contribuindo para o debate, o NaoX Protocol disse que os endereços expostos poderiam fornecer aos atacantes uma lista de detentores de criptomoedas verificados que valem a pena serem alvos pessoalmente. O executivo de segurança do Bitcoin, Nick Neuman, também alertou que os dados poderiam levar a engenharia social direcionada e potencialmente ataques de aperto, onde criminosos usam ameaças físicas para roubar fundos.
A Trezor disse que os clientes poderiam enfrentar phishing mais sofisticado por meio de e-mail, chamadas telefônicas ou cartas. Ela alertou os usuários a nunca inserir seu backup de carteira online ou compartilhá-lo com ninguém.
Um Período Difícil para Carteiras de Hardware
O momento se soma a uma sequência de manchetes ruins para os fabricantes de carteiras de hardware. Em meados de julho, o investigador on-chain ZachXBT chamou a categoria de inadequada para uso sério, escrevendo no Telegram que “todas as carteiras de hardware são lixo completo.”
Ele argumentou que um telefone reserva usado apenas para assinar transações poderia funcionar melhor, citando baterias descarregadas, atualizações de firmware forçadas e bugs de interface como problemas recorrentes. A violação da Trezor é um tipo diferente de falha, pois envolve exposição através de um fornecedor em vez do dispositivo, mas se encaixa na mesma conversa sobre custos além da frase-semente.
Além disso, na semana passada, a Galaxy Research vinculou mais de $100 milhões em Bitcoin roubado a um problema separado em versões mais antigas do firmware Coldcard, que gerava sementes de carteira com aleatoriedade mais fraca do que o pretendido. A Coinkite corrigiu a falha em lançamentos mais recentes, mas não pode corrigir sementes já geradas em dispositivos afetados e informou os detentores de seus modelos Mk3 a Q para moverem os fundos para hardware não afetado.
Esta não é a primeira vez que a Trezor se encontra em uma situação assim, com uma violação separada ligada a um fornecedor de suporte de terceiros expondo detalhes de contato de cerca de 66.000 usuários em janeiro de 2024.
Fonte: CryptoPotato
