Trezor: separar a procedência do dispositivo da recuperação dos segredos
Um procedimento de custódia precisa acompanhar o equipamento e a autoridade que ele representa. A análise propõe um aceite com responsáveis, evidências de procedência e decisões sobre os segredos envolvidos.
Read in EnglishPor Pentesty
O fato confirmado e o limite da correção
Na investigação oficial da Trezor, três Safe 5 vendidos pela CryptoBilis continham implantes físicos. A fabricante informa que o firmware 2.13.1 bloqueia os implantes identificados, mas não protege segredos capturados anteriormente; os proprietários desses três dispositivos não relataram perda de fundos.
A conclusão operacional da Pentesty é manter duas decisões no chamado: a condição do equipamento para uso e a condição da autoridade de assinatura. O responsável deve declarar quais evidências sustentam cada decisão e quais perguntas continuam abertas. A publicação de um fornecedor é um insumo dessa avaliação, com escopo e data de consulta registrados.
Reconstrua a aquisição sem circular informações sensíveis
Compras, segurança e o responsável pela custódia devem reunir pedido, vendedor, canal de compra, recebimento e identificadores do equipamento. Preserve os documentos em um repositório restrito. No chamado compartilhado, use referências internas e registre quem pode acessar os originais. Não inclua cópias de palavras de recuperação ou outros segredos.
Associe cada equipamento à função que exerce: aprovação cotidiana, reserva, teste ou recuperação. Pergunte quem teve posse, onde ficou armazenado e quais mudanças de responsável ocorreram. Marque como desconhecido o trecho da cadeia que não puder ser comprovado. Um campo obrigatório preenchido por suposição prejudica a decisão posterior.
Prepare a decisão antes de executar uma mudança
Defina quem pode suspender o uso e quem autoriza a recuperação. Descreva dependências, participantes, ambiente aprovado e a condição para interromper o procedimento. Use um exercício com recursos sintéticos para conferir o fluxo de aprovação, evitando testar com segredos ou ativos de produção. Registre o resultado esperado antes da execução.
O roteiro deve prever uma comunicação recebida por um canal independente e conhecido pela empresa. Não transforme uma mensagem inesperada em autorização para conectar equipamentos, instalar software ou informar dados. O contato com suporte deve seguir os canais oficiais e as regras internas de acesso. Uma urgência recebida por telefone também precisa passar pela aprovação definida.
Guarde evidências diferentes para decisões diferentes
Monte um registro com três responsáveis: quem verifica a procedência, quem aceita o procedimento técnico e quem autoriza a operação de negócio. Anexe identificadores de documentos, horários e resultados observados. Preserve os detalhes sensíveis no sistema apropriado, mantendo no relatório apenas o necessário para revisar a decisão.
Para cada etapa, escreva um critério observável. O inventário deve apontar o dispositivo correto; a aprovação deve corresponder ao procedimento executado; a retomada deve respeitar os limites autorizados. Uma etapa sem evidência permanece pendente. A análise sobre chaves e recuperação da confiança complementa o debate sobre quem aceita uma mudança de autoridade.
Encerre o chamado com uma decisão revisável
O aceite deve registrar o que voltou a operar, quem aprovou e quando será revisto. Inclua as limitações da investigação e a pessoa responsável por receber atualizações. Uma nova informação sobre procedência ou exposição precisa encontrar um chamado ainda localizável, com responsáveis que possam reavaliar a decisão.
O artigo sobre Trezor, ShipMonk e exclusão de dados trata de outro evento e de outra obrigação operacional. Ele ajuda a discutir evidências de fornecedores, mas não comprova a condição de um equipamento. Preserve essa separação ao reunir incidentes e contratos no mesmo painel.
Perguntas frequentes
Quem deve aprovar a retomada?
Defina um responsável técnico e outro pela operação de negócio. O aceite deve identificar as evidências examinadas e os limites de uso aprovados.
O relatório deve conter os segredos?
Use referências internas e resultados de verificações. Mantenha segredos fora de chamados e relatórios compartilhados e limite o acesso aos registros de custódia.
Como tratar uma etapa de procedência desconhecida?
Registre a lacuna e seu responsável. A decisão deve explicitar o efeito dessa incerteza e a condição necessária para nova avaliação.
É necessário movimentar ativos para testar o roteiro?
Planeje primeiro um exercício autorizado com recursos sintéticos. Qualquer decisão envolvendo produção depende dos responsáveis pela custódia e dos procedimentos aprovados.
Fontes e referências
Análise original da Pentesty, publicada em 13 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.