KYC e o Ataque de Chave Inglesa

Por Jeff

No mesmo ano em que centenas de milhares de pessoas guardaram suas chaves em dispositivos que nunca tocam a internet, os nomes e endereços dessas pessoas circularam por servidores de lojas virtuais, transportadoras e plug-ins de rastreamento de encomendas. As chaves ficaram offline. As casas, não. E a resposta a isso custa entre um e cinco por cento do que se guarda, mais o aluguel de uma caixa postal.

Em janeiro, a Ledger comunicou que nomes, endereços e pedidos de clientes haviam sido expostos através da Global-e, a empresa que processava suas vendas. Não informou quantos. O comunicado continha uma frase que se repetiria ao longo do ano inteiro: nenhuma frase de recuperação foi comprometida.

Em agosto, a Trezor informou que quase catorze mil clientes tiveram nomes, telefones e endereços expostos pelo seu parceiro de logística, entre eles compradores no Brasil. Três semanas depois, revisou a conta e acrescentou outros 67 mil clientes nos Estados Unidos. Quase oitenta mil endereços. Nenhuma frase de recuperação foi comprometida.

No mesmo mês, a SafePal revelou que 39.798 endereços escaparam por um plug-in instalado para que o cliente pudesse acompanhar, do celular, o trajeto da caixa até a sua porta. Os pedidos afetados cobriam mais de um ano. O plug-in fez exatamente o que prometia durante todo esse tempo. Só que para outras pessoas também. Dias depois, o arquivo apareceu anunciado à venda num fórum de crimes cibernéticos.

Em setembro, cerca de 347 mil assinantes da newsletter da Trezor receberam, a partir da infraestrutura legítima de envio da empresa, um alerta sobre uma falha crítica no microcontrolador de suas carteiras, redigido no tom urgente de quem quer proteger os fundos do cliente e desenhado para levá-los embora.

Em outubro, a Keystone tornou-se a quarta fabricante atingida no ano. Nomes, contatos, endereços, produtos comprados e preços pagos. Nenhum número. Nenhuma frase de recuperação comprometida. No comunicado, a empresa alertava que golpistas poderiam procurar os clientes por telefone, por e-mail ou por carta. As cartas chegariam, naturalmente, ao endereço que acabara de vazar.

Os comunicados diziam a verdade. Apenas respondiam a uma pergunta que ninguém mais estava fazendo.

Em 82 antes de Cristo, Lúcio Cornélio Sula mandou afixar no Fórum romano tábuas com nomes. Quem estivesse ali podia ser morto por qualquer cidadão, e seus bens iam a leilão. Sula não precisou de um exército para revistar Roma casa por casa. Precisou de uma lista. Os primeiros nomes eram de inimigos políticos. Os seguintes, cada vez mais, eram de homens ricos.

Em abril de 1933, a Ordem Executiva 6102 determinou que os americanos entregassem seu ouro ao Federal Reserve. O metal que estava registrado no sistema bancário foi recolhido com eficiência administrativa. O que estava enterrado em quintais, sem registro, atravessou o século. Nas quatro décadas seguintes, o dinheiro deixou de ser metal e passou a ser lançamento contábil em livros mantidos por bancos, de modo que toda poupança passou a existir, por definição, em alguma lista alheia.

Em janeiro de 2009, surgiu uma forma de propriedade cujo único registro público não continha nome algum. Nenhum banco a custodiava, nenhum tribunal a autorizava, nenhum decreto a alcançava. Para tomá-la por ordem, já não havia a quem dar a ordem.

Restou tomá-la de quem sabia a chave.

Em janeiro de 2025, David Balland, cofundador da Ledger, foi sequestrado em sua casa, no interior da França. Os sequestradores mutilaram um de seus dedos. Nos meses seguintes, o país registrou uma sequência de sequestros e tentativas de sequestro contra detentores de criptoativos e seus familiares. No primeiro semestre de 2026, a Chainalysis contou 46 ataques violentos contra detentores, com mais de trinta milhões de dólares roubados, um ritmo que caminha para o pior ano já registrado. A modalidade que mais cresce já não é o sequestro na rua. É a invasão de domicílio. O meio chama isso de ataque de chave inglesa, um nome que parece piada até a primeira vez em que se lê a descrição de um.

O vazamento de 2020 da Ledger expôs cerca de um milhão de e-mails e 272 mil endereços residenciais. A empresa era francesa, e o Regulamento Geral de Proteção de Dados da União Europeia estava em pleno vigor havia mais de dois anos. Os dados continuam circulando. Alguns daqueles clientes passaram a receber ameaças de violência acompanhadas de pedidos de resgate. As multas, quando vêm, vão para o Estado. Ao mesmo tempo, as regras de identificação de clientes e de prevenção à lavagem de dinheiro, escritas pelos mesmos reguladores, obrigam cada intermediário a coletar e guardar exatamente o tipo de informação que depois vaza.

O detentor de bitcoin típico gasta meses aprendendo a gerar entropia, verificar firmware, distribuir assinaturas, gravar palavras em aço. Depois preenche o checkout com o nome completo e o endereço onde dorme, porque foi assim que comprou tudo a vida inteira, num mundo em que o dado pessoal parecia não custar nada e em que a segurança do dinheiro era problema do banco.

Bitcoin removeu o banco. Removeu também a quem terceirizar o problema.

Reserve entre um e cinco por cento do valor que você guarda em bitcoin para a própria proteção, e trate esse percentual como parte do patrimônio, não como despesa, porque é ele o seu orçamento de segurança. Entre esses dois números cabem o dispositivo comprado com o mínimo de dados, o backup em metal, as chaves distribuídas em lugares diferentes de modo que nenhum endereço contenha tudo, protegidas por uma passphrase robusta, e o silêncio sobre o que se possui. Cabe também a medida mais barata e mais negligenciada de todas: uma Caixa Postal alugada numa agência dos Correios, ou um endereço de uso exclusivo para encomendas, que faz com que o vendedor saiba que alguém comprou uma carteira, mas não onde essa pessoa mora. O custo anual é irrisório diante de qualquer patrimônio que justifique uma hardwallet. O dado que nunca foi produzido não aparece em vazamento nenhum.

Quem já comprou com o endereço real pode partir do pressuposto mais prudente, o de que esse endereço já está numa base de dados à venda em algum lugar, e organizar a custódia para que a própria casa deixe de ser o lugar onde está tudo.

Há ainda uma lista da qual nenhuma caixa postal livra o contribuinte brasileiro. A declaração anual à Receita Federal exige que o bitcoin conste entre os bens e direitos, com seu valor, e as corretoras são obrigadas a informar ao fisco as operações de seus clientes. É uma obrigação legal, e cumpri-la é o preço de não dar ao Estado um motivo a mais para bater à porta. Mas é também informação produzida, guardada em sistemas operados por pessoas. Em junho deste ano, na França, registros fiscais vazados passaram a ser oferecidos por um hacker, com o potencial de revelar quem declarou criptoativos.

Em janeiro de 2021, o Brasil descobriu à venda em fóruns na internet uma base com mais de 223 milhões de CPFs, número maior que a própria população do país, porque incluía os mortos. Vinha acompanhada de endereços, fotos, escores de crédito, renda e dados de imposto de renda. O lote completo foi negociado por cerca de quarenta mil dólares.

Em abril de 2026, apareceu uma nova base, com 251.720.444 registros vinculados ao portal Gov.br, de cidadãos vivos e mortos, com filiação, cidade de nascimento e data de óbito. O preço pedido era de quinhentos dólares. Em cinco anos, o valor de mercado da identidade de um país inteiro caiu oitenta vezes. O uso mais comum desse tipo de arquivo não é a espionagem. É a campanha de phishing em massa e o golpe de engenharia social, o mesmo gênero de mensagem que em setembro chegou a 347 mil donos de carteiras para avisá-los de uma falha que não existia.

Os comunicados de 2026 repetiram que nenhuma frase de recuperação foi comprometida. Nenhum deles mencionava o formulário que todo brasileiro com bitcoin preenche uma vez por ano, por “obrigação” legal, informando quanto tem e onde mora.

Quem informa precisa partir do princípio de que declaração de imposto de renda é infoproduto.

Conheça nossos parceiros:

🏦 PIXGO — Tudo que você precisa para vender e receber via PIX sem conta bancária. Infraestrutura completa para qualquer tamanho de negócio.

💸 SATS CASHBACK — Transforme suas compras em Bitcoin. Navegue pelas +500 lojas parceiras e clique na que você quer comprar.

🇵🇾 MOSHE INTERNACIONAL — Assessoria em Internacionalização, Planejamento Tributário, Holding, Offshore e Visto para o Paraguai.