Trezor eleva vazamento na ShipMonk a mais de 80 mil clientes e expõe cadeia de custódia de dados

A Trezor confirmou na semana passada que o vazamento na sua operadora logística ShipMonk envolve não apenas os clientes já notificados em agosto, mas também 67 mil compradores adicionais nos Estados Unidos, elevando o total conhecido a mais de 80 mil registros expostos. A empresa checa de carteiras de hardware afirma ter recebido a comunicação da ShipMonk em 2 de setembro e publicou o novo aviso a clientes em 4 de setembro. O conjunto complementar cobre pedidos processados entre novembro de 2019 e agosto de 2021, período de uma parceria anterior que a Trezor entendia como encerrada.

O Metabase virou porta de entrada

A invasão remonta à exploração de um dia zero no Metabase, plataforma open source de business intelligence usada pela ShipMonk em uma instância auto-hospedada. A falha, catalogada como CVE-2026-72898, é uma injeção de SQL não autenticada com pontuação CVSS 10,0 e permite ao atacante consultar toda a base do produto sem credenciais. A ShipMonk reportou o acesso indevido em 10 de agosto; a Trezor emitiu o primeiro comunicado em 13 de agosto, mencionando 13.689 clientes afetados.

A mesma vulnerabilidade atinge outra vítima corporativa da mesma operação, a corretora de criptomoedas Bits of Gold, o que sugere que a ShipMonk operava um único ambiente Metabase compartilhado entre contas de clientes. O detalhe importa para o comprador enterprise: quando o SaaS logístico centraliza análise de pedidos de várias marcas em uma instância única, uma falha na camada de BI expõe todas ao mesmo tempo, mesmo que as marcas não tenham relação comercial entre si.

Não houve comprometimento das carteiras físicas Trezor, nem das seed phrases dos clientes, ambas isoladas por design fora do fluxo logístico. Os dados exfiltrados são de natureza operacional: nomes, e-mails, telefones, endereços de entrega e números de pedido do período em que a ShipMonk despachava produtos da Trezor.

O ponto crítico é a promessa de exclusão

A Trezor afirma que solicitou repetidamente à ShipMonk a exclusão dos dados após o fim da parceria e recebeu confirmação por escrito de que o expurgo havia ocorrido. Os arquivos permaneciam na base. Essa cláusula, comum em contratos de tratamento de dados sob GDPR e LGPD, foi violada em dois planos: no dever contratual de destruição e no dever de honestidade sobre o cumprimento. A palavra da fornecedora, sem verificação técnica, passou a valer menos do que os pedidos que ela alegava ter apagado.

O caso reabre uma discussão que executivos de dados vinham empurrando para depois: como auditar o cumprimento de cláusulas de exclusão em fornecedores que operam SaaS ou serviços físicos, sem paralisar a operação. Poucos contratos preveem varredura técnica após término, e menos ainda preveem custódia de logs comprobatórios pelo controlador. O modelo padrão continua sendo a confiança na declaração da contraparte, agora oficialmente insuficiente para dispositivos que também sofrem os chamados wrench attacks: agressões físicas contra donos de criptoativos identificados a partir de endereços residenciais em bases logísticas.

O alcance geográfico e o próximo alvo

ShipMonk opera centros de distribuição para clientes nos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal. Isso amplia o escopo do que outras marcas que contrataram o mesmo fornecedor podem precisar comunicar a seus próprios usuários, com implicações regulatórias distintas em cada jurisdição. A ANPD, no Brasil, exige notificação aos titulares em incidentes que produzam risco relevante, e reguladores europeus podem enquadrar o descumprimento na obrigação de exclusão do artigo 17 do GDPR, aplicável ao processador contratado.

Para o CISO de qualquer empresa que despacha bens por operador logístico terceirizado, três leituras se impõem imediatamente. Primeiro, saber se o fornecedor roda instâncias Metabase auto-hospedadas e, em caso positivo, exigir prova da correção da CVE-2026-72898 antes do próximo ciclo comercial. Segundo, revisar cláusulas de retenção e exclusão em contratos vigentes, ajustando janela e mecânica de verificação. Terceiro, considerar rotação criptográfica de identificadores de pedido e uso de endereços intermediários em produtos sensíveis, prática que a própria Trezor já sinalizou avaliar para novos ciclos, e que retira do fornecedor a capacidade de conservar informação útil por conta própria.

A pergunta de fundo não é técnica. É de governança contratual: quando uma cadeia de custódia depende do que o fornecedor jura ter feito, o comprador assume o risco integral da mentira. O caso Trezor obriga o mercado corporativo de logística a discutir se a próxima geração de contratos exige, além da promessa, algum equivalente de recibo criptográfico que prove que os dados realmente saíram do banco.