Carteiras cripto físicas em risco após fugas de dados em transportadoras

Ter uma carteira de criptomoedas em hardware já não é sinónimo de dormir descansado. Duas fugas de dados em empresas de transporte usadas pela Trezor e pela SafePal expuseram nomes, moradas, emails e números de telefone de milhares de clientes. O cofre continua offline, mas a lista de quem o tem está agora potencialmente nas mãos certas para as pessoas erradas.

O ataque não tocou nas carteiras em si, que guardam chaves privadas e frases-semente desconectadas da internet. O alvo foi a parte mais mundana da operação: as transportadoras que enviam as caixas para casa dos compradores. As marcas partilharam os dados de envio, como qualquer loja online faz, e os atacantes aproveitaram essa porta lateral. Resultado: um mapa quase perfeito de pessoas que provavelmente têm quantias relevantes em cripto e um dispositivo físico guardado em casa.

Isto alimenta um tipo de crime que o sector prefere varrer para debaixo do tapete: os chamados wrench attacks, assaltos físicos em que a vítima é coagida, por violência ou ameaça, a revelar a frase-semente da carteira. Segundo a CertiK, estes ataques cresceram 75% em 2025, com dezenas de casos reportados e roubos na ordem dos 40 milhões de dólares, enquanto a Chainalysis aponta para cerca de 30 milhões de dólares já em 2026. Não são ataques teóricos, são pessoas raptadas ou agredidas até cederem a palavra-passe que não se consegue quebrar por força bruta.

Para quem tem uma Trezor ou SafePal em Portugal ou noutro país europeu, o recado é simples: o elo fraco pode ser a logística, não a criptografia. As empresas recomendam atenção redobrada a tentativas de phishing por email ou SMS, agora com dados suficientes para mensagens altamente credíveis, mais na linha do que já vimos em fugas como as palavras-passe expostas via Google Docs do que em spam genérico. Mas o risco mais sério é físico: quem aparece com uma base de dados de moradas e nomes associados a carteiras cripto tem um guião pronto para raptos e invasões de domicílio.

Como se não bastasse, há o outro lado da história: mesmo o hardware pode falhar. Noutro caso recente, um bug em carteiras Coldcard da Coinkite permitiu a atacantes prever frases-semente geradas offline e roubar mais de 130 milhões de dólares diretamente da blockchain. A vítima que dizia ter feito “tudo certo” esbarrou na realidade crua: basta uma linha de código vulnerável em 2021 para deitar por terra anos de boa prática de segurança pessoal. O mito da invulnerabilidade das carteiras físicas é isso mesmo, um mito.

Para o utilizador comum, a conclusão é pouco glamorosa: guardar cripto em hardware reduz a superfície de ataque online, mas aumenta a responsabilidade sobre o mundo físico e sobre a cadeia completa de empresas que tocam nos teus dados. Se estás a confiar somas sérias a um pedaço de plástico, convém saber não só como é construído, mas também quem sabe onde ele foi parar.

Fonte: TechCrunch