A Trezor, renomada fabricante de carteiras de hardware, emitiu um alerta de segurança confirmando que seu formulário de contato online foi explorado por hackers. O incidente envolveu o envio de e-mails de phishing que se passavam por comunicações de suporte oficial da Trezor, visando enganar usuários para que revelassem informações sensíveis, como suas frases semente e detalhes de backup de carteira.
A empresa esclareceu que a violação foi contida e que seus sistemas internos não foram comprometidos. A exploração se limitou ao uso indevido da funcionalidade do formulário de contato para despachar as mensagens fraudulentas. A Trezor enfatizou que nunca solicita backups de carteira ou frases semente por e-mail.
Este incidente segue outros ataques semelhantes no espaço cripto, incluindo a recente manipulação de front-ends do CoinMarketCap e da Cointelegraph, que exibiram pop-ups maliciosos e promoveram airdrops falsos para roubar informações de carteiras.
A Trezor aconselha os usuários a permanecerem vigilantes contra comunicações suspeitas que solicitem chaves privadas ou frases semente.
Para mais informações, confira o alerta oficial da Trezor no X (anteriormente Twitter):
Por que este golpe é mais perigoso que o phishing comum
No alerta publicado em 23 de junho de 2025, a Trezor explicou que os atacantes abusaram do formulário de contato para enviar e-mails de golpe que pareciam respostas legítimas do suporte. Esse detalhe muda o jogo. No phishing tradicional, a dica clássica é desconfiar de remetentes com domínio estranho. Aqui, como o disparo partia de uma ferramenta da própria empresa, a mensagem tinha mais chance de parecer autêntica e de passar pelos filtros de quem já conhece os golpes mais simples.
A lição é que a aparência do e-mail não serve mais como prova de nada. O que define se uma mensagem é golpe é o que ela pede. Se o pedido envolve a frase de recuperação, a resposta é sempre não.
As regras que a Trezor repete (e que valem para qualquer carteira)
Na sua página oficial sobre golpes e phishing, a Trezor resume o que nenhum usuário deve fazer e como reconhecer uma abordagem falsa:
- Backup é só seu: qualquer pedido do backup da carteira, PIN, senhas ou códigos é golpe. A empresa diz que nunca entra em contato para tratar do backup nem pede ações com a carteira.
- Ligação de suposto suporte: se alguém telefonar dizendo ser da Trezor ou de outra fabricante, a orientação é desligar na hora e abrir um chamado pelos canais oficiais.
- A tela do aparelho manda: confira sempre na tela da carteira física os dados de cada operação e veja se batem com o que aparece no computador.
- Domínios parecidos: golpistas usam endereços como @trezorr.io no lugar de @trezor.io.
- Ameaças de bloqueio: a Trezor não tem como desativar o seu aparelho. Mensagem dizendo o contrário é falsa.
- Únicas ações legítimas: atualizar o firmware do aparelho e o Trezor Suite pelo aplicativo de desktop, sempre conferindo a autenticidade do software.
A empresa também alerta que golpistas já usam inteligência artificial para imitar o suporte por texto, voz e vídeo. Por isso, uma mensagem bem escrita e sem erros de português ou inglês não é sinal de legitimidade.
Por que a frase de recuperação é o alvo
Em autocustódia, quem tem a frase de recuperação controla os fundos, e cada transação é final e irreversível. Não existe banco para estornar nem central para bloquear a transferência. Se o golpista recebe as 12, 20 ou 24 palavras, pode recriar a carteira em outro aparelho e mover tudo em minutos. Entenda como funciona e como guardar esse backup no nosso guia sobre seed phrase.
Ataques como o do CoinMarketCap e do Cointelegraph, citados acima, seguem a mesma lógica: usam um canal confiável para mostrar uma oferta ou um alerta falso e levar o usuário a conectar a carteira ou digitar dados sensíveis em outro site.
Autocustódia e imposto de renda no Brasil
Guardar cripto em carteira física não dispensa a declaração. Na ficha Bens e Direitos, grupo 08, cada tipo de criptoativo com custo de aquisição de R$ 5 mil ou mais deve ser informado, e no campo Discriminação vai a quantidade e a indicação de custódia própria. Além disso, a IN RFB 1.888 obrigava a pessoa física a informar mensalmente à Receita as operações realizadas fora de exchange ou em exchange estrangeira, quando o total passasse de R$ 30 mil no mês.
Atualização (setembro de 2026): desde 1º de julho de 2026 essa obrigação segue as regras da DeCripto (IN RFB 2.291/2025). O passo a passo da declaração está no guia de como declarar bitcoin no imposto de renda.
Perguntas frequentes
A Trezor foi hackeada e os fundos dos clientes correm risco?
Segundo a empresa, os sistemas internos não foram comprometidos. O problema foi o uso indevido do formulário de contato para enviar e-mails falsos. Os fundos só correm risco se o usuário entregar a frase de recuperação ou aprovar uma transação fraudulenta.
A Trezor pode pedir minha frase de recuperação para verificar a carteira?
Não. A Trezor afirma que nunca pede o backup da carteira e que qualquer mensagem pedindo para verificar o backup é tentativa de phishing.
Preciso declarar cripto guardada em carteira física?
Sim, se o custo de aquisição de cada tipo de cripto for de R$ 5 mil ou mais. Na Discriminação, informe a quantidade e que a custódia é própria.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de fora. A gente mede isso todo dia em seis corretoras e publica o ranking — veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que valem a pena em uma página só, com o que cada um exige pra liberar — veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin e o que muda pra quem tem cripto no Brasil, sem hype — assine a newsletter.
