Após a violação de segurança em larga escala e amplamente divulgada no concorrente Ledger, que supostamente causou dezenas de milhões de dólares em perdas de criptomoedas, o fabricante da carteira de hardware Trezor está significativamente reduzindo sua rede de revendedores autorizados.
Em uma carta aos parceiros, o diretor comercial da Trezor, Danny Sanders, revelou que a empresa revogaria a autorização dos revendedores afetados em 1º de janeiro de 2027, em um esforço para assumir maior controle da cadeia de suprimentos.
Este anúncio veio na esteira de descobertas de implantes de hardware maliciosos dentro de dispositivos Ledger vendidos por meio de revendedores terceirizados.
Embora a mudança ousada pareça sugerir que a empresa suspeita que os dispositivos Trezor também possam estar comprometidos, a Trezor enfatizou que a medida é estritamente preventiva, e não há evidências de que os dispositivos Trezor tenham sido comprometidos.
"Deixe-me ser muito claro: não há uma única evidência de que os dispositivos Trezor tenham sido comprometidos", escreveu Sanders.
O executivo observou que o recente ataque hacker contra outro fabricante de carteiras de hardware reafirmou as preocupações pré-existentes da empresa em relação aos possíveis riscos representados pela distribuição por terceiros.
Sanders argumentou que, mesmo que a carteira de hardware seja tecnicamente segura, ainda há um risco se os hackers puderem acessar a carteira antes que ela chegue ao proprietário da carteira.
Acordo de revendedor
Os revendedores que receberam o aviso de rescisão serão removidos da lista oficial de parceiros autorizados da Trezor em 1º de janeiro de 2027.
Novo estoque não será mais enviado às empresas afetadas, mas a empresa disse que os revendedores afetados ainda poderão vender o que resta em seu estoque até a data de rescisão, inclusive durante a importantíssima Black Friday e a temporada de festas.
A Trezor explicou que a avaliação de cada mercado individual foi baseada em receita, capacidades de distribuição e a presença já estabelecida da empresa no mercado.
No final, a empresa decidiu que menos revendedores significavam que verificações de segurança mais aprofundadas poderiam ser feitas.
Importante, o executivo ressaltou que a decisão não reflete mal sobre as empresas afetadas nem implica que elas tenham distribuído dispositivos comprometidos.
Para os parceiros autorizados, a empresa apertará o acordo contratual e aumentará seu controle sobre como os dispositivos são obtidos, armazenados e manuseados.
A empresa não especificou quantos revendedores perderiam sua autorização.
Problemas do setor
O anúncio vem apenas alguns dias depois de o fabricante de carteiras de hardware Ledger ter sido implicado em um significativo escândalo de segurança da cadeia de suprimentos envolvendo um revendedor de carteiras de hardware, a CryptoBilis, no Sudeste Asiático.
Ledger reconheceu que certos dispositivos vendidos por meio desse revendedor tinham implantes de hardware não autorizados que podiam interceptar as frases de recuperação de 24 palavras dos usuários quando eles inicializam seus dispositivos.
As descobertas, publicadas pela equipe de segurança Donjon da Ledger, revelaram que os implantes maliciosos tinham a capacidade de enviar frases de recuperação roubadas por redes celulares, potencialmente expondo os usuários à perda de acesso aos seus fundos de criptomoedas.
Detetives on-chain estimaram que o evento pode ter levado a perdas de mais de US$ 90 milhões, embora a Ledger não tenha confirmado esse número por conta própria.
Este significativo esforço de reestruturação mostra que, na esteira do fiasco da Ledger, os fabricantes de carteiras de hardware estão questionando as implicações de segurança da distribuição por terceiros, mesmo que não haja evidências de que seus dispositivos estejam realmente comprometidos.
