A segurança cripto agora vai além da carteira e chega ao endereço do cliente

Uma família francesa foi mantida amarrada durante horas por criminosos atrás de suas criptomoedas. A polícia não informou como os criminosos escolheram a casa, e é nessa lacuna que reside o problema de dados do setor.

Por volta das 4h da manhã de 20 de setembro, quatro homens encapuzados invadiram uma casa de família no norte da França. Amarraram os pais e os dois filhos com fita adesiva preta e obrigaram o pai a fornecer seus códigos de acesso e transferir 40 mil euros.

O pai é funcionário assalariado de TI no setor de criptomoedas. Os promotores ainda não informaram como os criminosos o identificaram.

Um incidente separado, ocorrido no mesmo mês, mostrou como informações desse tipo podem vazar com facilidade. Em 13 de agosto, a fabricante de carteiras de hardware Trezor informou a 13.689 clientes que uma violação em um de seus fornecedores de logística havia exposto dados confidenciais de pedidos. O número subiu para mais de 80 mil.

Nada liga os dois casos, nem é preciso que ligue. Juntos, eles descrevem a mesma exposição por dois ângulos: um banco de dados que associa um endereço residencial à comprovação de que alguém possui criptomoedas e o que acontece quando alguém age com base nessa associação.

A BeInCrypto conversou com especialistas da Hacken e da Zama para descobrir o que um fornecedor deve a seus clientes quando um prestador de serviços vaza sua identidade, quais dados o setor deveria deixar de armazenar e como um cliente poderia saber se um custodiante vai falhar com ele sob coação.

O que “Nenhuma chave foi comprometida” não conta

Quando a Trezor anunciou a violação em agosto, fez questão de destacar o que não havia acontecido. Seus próprios sistemas não haviam sido comprometidos, afirmou, e seus dispositivos continuavam seguros.

Essas garantias abordavam o risco que as carteiras de hardware existem para prevenir: o roubo de fundos.

No entanto, Dmytro Yasmanovych, responsável por GRC e Operações de Segurança na Hacken, explicou que a ausência de uma chave privada roubada não significa que os clientes estejam fora de perigo. 

“Alguém que sabe seu nome, seu endereço residencial e que você possui uma carteira de hardware tem informações que pode usar para atacar você. É possível substituir uma chave comprometida em minutos. Não dá para fazer o mesmo com seu endereço residencial.”

Ele argumenta que é por isso que as informações mantidas por empresas de entrega e outros fornecedores merecem tanta atenção quanto a própria carteira. Se um banco de dados associa um detentor de criptoativos ao seu endereço residencial, as consequências também podem chegar à família dele, acrescentou Yasmanovych.

“Assim, um fornecedor pode impedir que qualquer pessoa acesse seus fundos e, ainda assim, deixar você exposto de uma forma muito mais pessoal. A questão é saber se as medidas de segurança protegem o cliente, e não apenas a carteira.”

Os números da França por trás do alerta

A França mostra como isso se manifesta. No fim de junho, o ministro do Interior, Laurent Nuñez, afirmou que as autoridades haviam registrado mais de 70 incidentes violentos relacionados a criptoativos desde janeiro.

A Chainalysis, que contabilizou casos divulgados publicamente, registrou 30 na França até meados de 2026, em comparação com 19 durante todo o ano de 2025.

A empresa considera que uma violação de dados é a causa mais provável. Ela aponta para um caso de 2024 em que um funcionário da administração fiscal francesa teria roubado dossiês de investidores em criptomoedas com grandes patrimônios, incluindo endereços e números de telefone, e os vendido a intermediários criminosos.

A exposição da família descrita por Yasmanovych aparece nos mesmos dados. Na França, mais de 40% dos incidentes tiveram como alvo um familiar, e não o titular. No total, invasões domiciliares representavam 37% dos ataques documentados até meados de 2026, ante 26% em 2023.

A Chainalysis estimou que ataques violentos contra investidores em criptomoedas no mundo todo renderam mais de US$ 30 milhões no primeiro semestre do ano. Esse valor inclui apenas os ataques em que o titular entregou os fundos.

O relatório estima a exposição total em US$ 107 milhões, incluindo pedidos de resgate, transferências bloqueadas e fundos recuperados, mas ressalta que até esse valor abrange apenas os casos notificados.

Os dados por trás do alvo

Esses ataques precisam de um alvo, que pode ser encontrado em um registro mantido por alguém. Isso faz da retenção de dados mais uma questão de segurança para o setor de criptomoedas.

As empresas podem precisar de informações dos clientes para uma transação ou um serviço específico. No entanto, mantê-las por tempo indeterminado pode criar um risco adicional caso essas informações sejam expostas posteriormente. Então, que dado dos clientes o setor deveria deixar de coletar ou excluir antes do que faz hoje?

Yasmanovych aponta o número de telefone. Ele explicou que uma empresa pode precisar dele para organizar uma entrega, mas isso não justifica mantê-lo no banco de dados dos clientes por anos.

Assim, se a base de dados for violada, o número pode ser usado para phishing, golpes por telefone ou tentativas de troca de SIM.

“Eu desvincularia um pedido de um endereço de entrega físico assim que a entrega fosse concluída e deixasse de haver uma razão comercial para manter essa informação. A empresa pode guardar o que for necessário para fins fiscais e de garantia sem manter um registo completo do local para onde cada pedido foi entregue.”

Ele apontou outro problema: a eliminação de dados muitas vezes depende de alguém afirmar que foi feita.

“Num caso, uma empresa tinha uma regra de retenção de noventa dias e uma confirmação por escrito do parceiro de expedição de que os registos mais antigos tinham sido eliminados. Ainda havia anos de dados nos sistemas da empresa. É por isso que eu exigiria provas da eliminação, e não apenas uma política de retenção. Se ninguém verificar se a regra foi cumprida, ela oferece pouca proteção.”

A mesma responsabilidade se estende ao que acontece depois de as informações dos clientes serem expostas. Segundo Yasmanovych, além de enviar um e-mail de aviso, o prestador precisa explicar exatamente quais informações foram expostas. 

“Uma cidade divulgada é uma coisa. Um nome, um endereço residencial e provas de posse de criptomoedas representam outro nível de risco… Alguém cujo endereço foi divulgado pode precisar de ajuda para organizar futuras entregas sem voltar a compartilhá-lo… Deve haver uma pessoa ou equipa de contacto direto quando a situação exigir mais do que uma FAQ padrão.”

Ele mencionou que o fornecedor também precisa resolver o que permitiu que a exposição ocorresse. Se o fornecedor retém dados além do período de retenção acordado, os clientes devem ser informados sobre como isso será evitado e como a exclusão será verificada no futuro.

“Um e-mail de alerta é o primeiro passo. As pessoas precisam saber o que aconteceu, o que podem fazer agora e se a empresa realmente corrigiu o processo que falhou.”

A resposta da Trezor à própria violação pode ser avaliada com base nessa lista. A empresa enviou e-mails individualmente aos clientes afetados, especificando se a exposição foi total ou parcial, e alertou sobre phishing e, em setembro, sobre riscos à segurança física.

A empresa também prometeu uma opção de entrega anônima, com retirada em armários, embalagens sem identificação da marca e exclusão automática dos identificadores de envio.

A tecnologia de privacidade pode preencher essa lacuna?

O problema não se limita aos dados que as empresas armazenam fora da blockchain. À medida que mais atividades financeiras migram para blockchains públicas, as próprias transações podem criar outra camada de exposição.

O CEO e cofundador da Zama, Dr. Rand Hindi, afirmou que o incidente da Trezor evidencia um problema de retenção de dados fora da blockchain.

Ele argumentou que, à medida que o capital institucional migra para a blockchain em grande escala, a confidencialidade na blockchain deixa de ser um recurso e se torna uma condição para a participação. Hindi citou uma estimativa da BCG segundo a qual os ativos digitais do mundo real poderiam representar cerca de 16% dos ativos globais disponíveis para investimento até 2035.

Ele afirmou que instituições reguladas não podem operar em um livro-razão público no qual todas as posições e relações entre contrapartes sejam visíveis. O executivo apontou a criptografia totalmente homomórfica (FHE) como uma forma de lidar com isso sem sacrificar a conformidade.

“A FHE permite realizar operações diretamente sobre dados criptografados — uma transferência é executada, um limite de prevenção à lavagem de dinheiro é verificado, a elegibilidade é confirmada, tudo sobre o texto cifrado — sem que nenhum validador ou explorador de blocos veja um saldo ou outros dados sensíveis. Quando um órgão regulador exige acesso, um quórum autorizado de detentores de chaves (a equipe de conformidade) autoriza a descriptografia, que é imposta na camada do protocolo, e não por meio de uma política.”

A tecnologia de privacidade também pode limitar a quantidade de informações que as empresas precisam divulgar sem tornar a verificação impossível.

Yasmanovych afirmou que as provas de conhecimento zero podem permitir que uma exchange demonstre que possui ativos suficientes para cobrir os saldos dos clientes sem divulgar o saldo de cada cliente.

Assim, a exchange pode compartilhar evidências de sua posição geral sem expor informações de contas individuais. O especialista acrescentou que isso não significa que as informações se tornem inacessíveis.

Dependendo de como o sistema é projetado, um investigador autorizado ainda pode examinar as evidências e os registros subjacentes por meio de uma auditoria apropriada ou de um processo legal.

Acrescentou que a divulgação seletiva segue um princípio semelhante ao compartilhar informações de identidade. Um serviço pode precisar confirmar que alguém atende a um requisito específico sem receber o documento de identidade completo ou o perfil de cliente dessa pessoa.

“Nenhuma das abordagens resolve o problema dos dados pessoais armazenados fora da blockchain. Os valores e horários das transações, assim como as conexões entre carteiras, podem continuar visíveis, enquanto documentos de identidade e endereços residenciais permanecem em bancos de dados de corretoras, empresas de entrega e instituições de pagamento.”

Yasmanovych mencionou que a lacuna é bastante evidente. Uma empresa pode aumentar a privacidade da própria transação e, ainda assim, deixar expostas em outros lugares as informações necessárias para realizá-la e prestar suporte.

Quando as credenciais são reais, mas o cliente não está livre

A distinção entre privacidade das transações e segurança pessoal torna-se ainda mais importante quando um cliente é forçado a autorizar uma transferência. Um custodiante pode ter uma infraestrutura segura e controles de acesso rigorosos. 

Mas essas salvaguardas são postas à prova de outra forma quando um cliente é coagido a entregar seus ativos. 

Yasmanovych disse que uma auditoria técnica pode demonstrar que o sistema funciona conforme o previsto. Ela é menos útil para entender o que acontece quando alguém é forçado a entregar seus ativos.

“Eu testaria o processo de levantamento sob esse tipo de pressão. Por exemplo, um cliente com credenciais válidas solicita uma transferência avultada enquanto alguém o está a coagir. O prestador consegue reconhecer a situação, suspender o levantamento ou envolver outra pessoa antes de o dinheiro sair?”

Os controlos que considera necessários são uma segunda pessoa autorizada e um período de espera obrigatório para transferências avultadas, nenhum dos quais o cliente pode desativar durante a mesma sessão. Yasmanovych salientou que o objetivo é dar ao prestador a oportunidade de intervir quando um início de sessão válido não significa necessariamente que o cliente esteja a agir livremente.

“Também pediria para ver o processo em ação. Uma política pode exigir uma segunda aprovação, mas isso não permite saber se a aprovação é verdadeiramente independente ou se os funcionários a podem contornar. Um teste em tempo real revelaria essas fragilidades muito mais depressa do que outra auditoria técnica sem problemas.”

Um sistema de custódia pode funcionar exatamente como previsto e, ainda assim, falhar à pessoa que o utiliza. O último passo passa sempre pelas mãos de uma pessoa, e uma pessoa pode ser ameaçada.

Fonte: BeInCrypto