Vazamentos de criptomoedas em 2026: dados de envio alimentam ataques físicos

Três violações em quatro dias, cada uma enraizada em um fornecedor que o usuário final nunca escolheu e provavelmente nunca soube que existia. A SafePal perdeu 39.798 registros de clientes devido a uma falha de plugin. A Trezor perdeu 13.689 por meio de seu fornecedor de envio ShipMonk. A Bits of Gold, a maior corretora de criptomoedas regulamentada de Israel, perdeu cerca de 200.000 por meio de uma ferramenta de análise. Nenhuma carteira foi drenada. Nenhuma chave foi roubada. O que foi roubado é pior para uma classe específica e crescente de crime: prova verificada de que uma pessoa em um endereço conhecido possui criptomoedas, juntamente com seu número de telefone e, em alguns casos, seu número de identificação governamental.

Este artigo traça os três incidentes até sua raiz técnica comum, mede a ameaça física que esses registros agora alimentam e examina o que a resposta da indústria revela sobre uma lacuna estrutural que os fabricantes de carteiras de hardware e corretoras têm sido lentos em fechar.

Uma vulnerabilidade, duas violações, quatro dias

A conexão entre as violações da Trezor e da Bits of Gold ficou clara poucas horas após a segunda divulgação. Ambas remontam à CVE-2026-72898, uma injeção SQL não autenticada crítica no Metabase, a plataforma de business intelligence de código aberto usada por milhares de empresas para consultar e visualizar dados internos.

A vulnerabilidade está no endpoint de redefinição de senha. Um atacante remoto pode injetar SQL arbitrário por meio de campos não declarados no corpo da solicitação de redefinição, obter acesso de administrador à instância do Metabase e, a partir daí, ler todos os bancos de dados aos quais a instância se conecta. O Metabase classificou-a como CVSS 10.0. A Horizon3 publicou uma prova de conceito. A CISA adicionou-a ao catálogo de Vulnerabilidades Exploradas Conhecidas.

A ShipMonk, o fornecedor de fulfillment que a Trezor usa para pedidos nos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal, executava uma instância do Metabase auto-hospedada. Os atacantes exploraram a CVE-2026-72898 em ou antes de 6 de agosto e acessaram dados de pedidos de 13.689 clientes da Trezor que receberam remessas entre 10 de maio e 8 de agosto. Desses, 11.742 tiveram exposição completa, incluindo nome, e-mail, número de telefone e endereço de envio. Os 1.947 restantes tiveram exposição parcial limitada a nome, cidade e e-mail.

A Bits of Gold divulgou sua violação em 16 de agosto após detectar acesso não autorizado a um sistema de software de terceiros usado para suporte ao cliente e análise de dados. A empresa confirmou a mesma CVE. Cerca de 200.000 usuários tiveram nomes, números de identificação israelenses, endereços de e-mail, números de telefone, endereços IP, detalhes de contas bancárias e endereços públicos de carteiras de criptomoedas potencialmente acessados. A Bits of Gold descreveu o incidente como parte de um ataque global mais amplo que atingiu várias empresas simultaneamente.

A campanha mais ampla é real. O próprio Metabase confirmou que os atacantes exploraram a falha contra locatários do Metabase Cloud antes que o patch estivesse disponível. Framework, Anaconda e n8n divulgaram acesso não autorizado a dados na janela anterior ao patch. Das aproximadamente 11.000 instâncias prováveis do Metabase auto-hospedadas encontradas por varredura em toda a internet pela runZero, 4.309 estavam potencialmente vulneráveis, e mais de 97% dos hosts identificados em ramificações afetadas pareciam não corrigidos na data do aviso.

A terceira violação ocorre com uma falha diferente

O incidente da SafePal compartilha o momento, mas não a raiz técnica. O fabricante de carteiras de hardware apoiado pela Binance divulgou em 16 de agosto que uma vulnerabilidade de autorização em um plugin de rastreamento de pedidos de terceiros permitiu que indivíduos não autorizados visualizassem informações de pedidos pertencentes a outros clientes. A falha expôs 39.798 clientes que fizeram pedidos entre 2 de março de 2025 e 11 de abril de 2026.

O conjunto de dados é mais restrito do que as violações da Metabase: nomes, endereços de e-mail, números de telefone, endereços de entrega e detalhes de compra. Nenhuma frase-semente, chave privada, senha de carteira, dados bancários ou números de identificação governamental foram acessados. A SafePal corrigiu a falha, contratou um auditor independente, reduziu sua janela de retenção de dados para 90 dias e identificou e removeu mais de 30 sites de phishing ligados ao incidente.

As três violações compartilham um padrão que importa mais do que qualquer CVE individual. Em cada caso, os sistemas da própria empresa não foram comprometidos. O atacante entrou por meio de um fornecedor que o cliente nunca escolheu: uma empresa de logística de envio, um painel de análise, um widget de rastreamento de pedidos. O cliente escolheu uma carteira ou uma corretora. A pilha de fornecedores por trás disso era invisível.

O que os dados roubados permitem

A garantia padrão após uma violação desse tipo é que nenhum fundo foi comprometido. Esse enquadramento trata os dados como um incômodo, úteis para e-mails de phishing que um usuário cuidadoso pode identificar e excluir. Ele ignora a categoria de crime que esses registros alimentam.

O relatório de ataques de chave inglesa do CertiK do primeiro semestre de 2026 documentou 52 incidentes verificados de violência física usada para extrair criptomoedas de vítimas, um aumento de 33% em relação aos 39 incidentes do primeiro semestre de 2025. A exposição financeira atingiu US$ 124,1 milhões, mais de 11 vezes os US$ 10,5 milhões do mesmo período do ano anterior.

Os métodos de ataque estão mudando. Invasões de casas ligadas a roubo de criptomoedas subiram de um caso no primeiro semestre de 2025 para 20 no primeiro semestre de 2026, tornando-se o tipo de ataque verificado mais comum. Sequestros subiram de 12 para 16. Os atacantes miram cada vez mais pessoas próximas aos detentores de criptomoedas: parentes ou conhecidos representavam cerca de 25% a 30% dos casos documentados no início de 2026, contra quase nenhum em 2021.

A França responde por 33 dos 52 casos verificados, 63,5% de todos os incidentes globalmente. O país registrou 41 sequestros ligados a criptomoedas em 2026, uma média de aproximadamente um a cada dois dias e meio. A concentração é em parte um efeito de relato, as autoridades francesas rastreiam e publicam esses casos de forma mais consistente do que a maioria das jurisdições, mas a escala não é explicada apenas pelo relato.

Os dados das violações desta semana são exatamente o que um ataque de chave inglesa requer. Um cliente de criptomoedas confirmado, um endereço de entrega verificado por uma entrega concluída, um número de telefone para engenharia social e, no caso da Bits of Gold, um número de identificação governamental e endereço público de carteira. O atacante não precisa adivinhar quem possui criptomoedas. A violação confirma isso.

A economia é direta. Um comprador na dark web paga algumas centenas de dólares por uma lista selecionada de detentores de criptomoedas verificados com endereços residenciais. Uma única invasão de casa ou sequestro bem-sucedido rende de dezenas de milhares a milhões de dólares em criptomoedas que são irreversíveis uma vez transferidas. O retorno ajustado ao risco para o atacante melhora a cada violação que adiciona registros verificados ao mercado. A exposição financeira de US$ 124,1 milhões de 52 incidentes no primeiro semestre de 2026 implica um ganho médio de aproximadamente US$ 2,4 milhões por ataque bem-sucedido, embora a mediana seja provavelmente menor e um punhado de casos de alto valor distorça a média para cima.

A geografia da ameaça também está se expandindo. Enquanto a França domina a contagem de casos verificados, a Chainalysis documentou incidentes em pelo menos 14 países em 2026. Reino Unido, Estados Unidos, Brasil, Holanda e África do Sul registraram múltiplos casos. A violação da Trezor afeta especificamente clientes em sete países. A violação da Bits of Gold afeta clientes israelenses, uma jurisdição que não apareceu anteriormente nas estatísticas de ataques de chave inglesa em escala.

O precedente da Ledger e por que isso importa agora

Esta não é a primeira vez que uma violação de carteira de hardware alimenta uma campanha de ameaça física. A violação do banco de dados de comércio eletrônico da Ledger em 2020 expôs aproximadamente 272.000 registros de clientes, incluindo nomes completos, números de telefone e endereços residenciais. Os dados foram vendidos em particular antes de serem divulgados publicamente em dezembro de 2020.

O que se seguiu tornou-se o estudo de caso mais claro da indústria sobre como dados de endereço roubados se convertem em danos no mundo real. Campanhas de phishing usaram nomes genuínos e detalhes de compra para se passar pelo suporte da Ledger. Cartas de extorsão chegaram aos endereços residenciais exigindo US$ 700 a US$ 1.000 em Bitcoin, avisando que a recusa levaria a doxxing ou ataques físicos. Em 2021, atacantes enviaram dispositivos substitutos fisicamente adulterados para endereços do vazamento, embalagens encolhidas com papel timbrado falso instruindo as vítimas a inserir frases de recuperação em hardware modificado projetado para exfiltrar sementes.

Seis anos depois, dados do vazamento da Ledger ainda circulam em campanhas de phishing. Golpistas em 2026 enviaram cartas físicas a clientes da Ledger usando os mesmos dados de endereço de 2020, demonstrando que dados de violação não expiram. Um endereço residencial de 2020 ainda é um endereço residencial em 2026 para a maioria das vítimas que não se mudaram.

As violações de agosto de 2026 são maiores em conjunto. A Ledger expôs 272.000 registros. As três violações desta semana expuseram 253.487, e o conjunto de dados da Bits of Gold inclui números de identificação governamental e endereços públicos de carteira que o vazamento da Ledger não continha. O enriquecimento é pior. Um atacante trabalhando com o vazamento da Ledger sabia que alguém comprou uma carteira de hardware. Um atacante trabalhando com os dados da Bits of Gold sabe que alguém possui criptomoedas, onde mora, qual é o número de seu documento de identidade governamental e pode verificar seu saldo on-chain.

O problema do fornecedor que ninguém resolveu

As empresas de carteiras de hardware se comercializam com base na segurança. O dispositivo gera chaves offline. O firmware é de código aberto. O elemento seguro resiste à adulteração física. Nada disso importa quando a empresa entrega o endereço residencial de um cliente a um provedor de fulfillment terceirizado que executa um painel de análise sem correções.

A Trezor reconheceu essa lacuna diretamente. A empresa anunciou que lançará a Entrega Anônima na União Europeia até setembro de 2026 e nos Estados Unidos até o final do ano. O serviço permitirá que os clientes recebam dispositivos sem fornecer endereço residencial a qualquer intermediário de envio. É a primeira resposta estrutural de um fabricante de carteiras de hardware ao problema de dados do fornecedor.

A resposta da SafePal focou no plugin: corrigir, auditar, reduzir a retenção. A Bits of Gold contratou uma empresa de resposta a incidentes e desconectou o sistema afetado. Nenhuma das duas anunciou mudanças em como selecionam ou auditam os fornecedores que lidam com dados de clientes.

A questão estrutural é que o modelo de segurança para custódia de criptomoedas trata o dispositivo e as chaves como o perímetro. O perímetro real inclui todos os fornecedores na cadeia de suprimentos que sabem que um cliente existe e onde mora. Provedores de fulfillment, plataformas de análise, ferramentas de suporte ao cliente, widgets de rastreamento de pedidos e processadores de pagamento detêm algum subconjunto dessas informações. Cada um é um alvo, e o cliente não tem visibilidade sobre quais fornecedores estão na cadeia ou qual software eles executam.

O custo da retenção

A política de retenção de dados é a variável única que determina o tamanho que uma violação pode ter. A falha do plugin da SafePal expôs pedidos feitos em um período de 13 meses. A exposição da Trezor via ShipMonk cobriu um período de três meses. A Bits of Gold não divulgou seu período de retenção, mas 200.000 clientes afetados implicam anos de registros acumulados.

Após a violação, a SafePal reduziu a retenção para 90 dias. Essa é a direção certa, mas levanta uma questão: por que o período anterior era de 13 meses? O rastreamento de pedidos não exige manter o endereço residencial de um cliente por um ano após a entrega. A confirmação de envio precisa dele por dias, não meses.

O princípio é simples. Cada dia que um registro existe além de seu propósito operacional é um dia em que pode ser roubado. A superfície de violação não é o número de fornecedores. É o número de fornecedores multiplicado pelo número de registros que cada um detém multiplicado pelo tempo que esses registros persistem.

O que realmente consertaria isso

Três mudanças estruturais reduziriam o raio de explosão da próxima violação. Nenhuma requer nova tecnologia. Todas exigem decisões que as empresas evitaram até agora.

A primeira é a atestação de segurança do fornecedor. Toda empresa que lida com dados de clientes de criptomoedas deve exigir que seus fornecedores mantenham níveis de correção atuais no software voltado para a internet e forneçam evidências dessa conformidade em um cronograma definido. A vulnerabilidade do Metabase tinha uma correção disponível em 6 de agosto. A ShipMonk foi violada em ou antes de 6 de agosto. A Bits of Gold detectou acesso não autorizado dias depois. Um programa de atestação de fornecedor que exigisse relatórios mensais de conformidade de correção teria sinalizado instâncias do Metabase sem correção antes de serem exploradas.

A segunda é a minimização de endereços. Um provedor de fulfillment precisa de um endereço de entrega para entregar um pacote. Ele não precisa desse endereço após a confirmação da entrega. Uma ferramenta de suporte ao cliente precisa de um número de referência do pedido para consultar um caso. Ela não precisa do endereço residencial do cliente para fazer isso. O princípio da minimização de dados, coletar apenas o que é necessário e excluí-lo quando a necessidade expira, está escrito no GDPR, na CCPA e na maioria das estruturas modernas de privacidade. Raramente é aplicado no nível do fornecedor no setor de criptomoedas.

A terceira é a divulgação transparente do fornecedor. Os clientes que escolhem uma carteira de hardware ou corretora atualmente não têm como saber quais fornecedores receberão seus dados. Os clientes da Trezor não sabiam que a ShipMonk existia até a divulgação da violação. Os clientes da SafePal não sabiam qual plugin rastreava seus pedidos. Um registro simples de fornecedores, publicado no site da empresa e atualizado quando os fornecedores mudam, daria aos clientes as informações necessárias para avaliar seu próprio risco.

Nenhuma dessas medidas elimina as violações. Elas reduzem o número de registros disponíveis para roubo, a janela durante a qual esses registros existem e a capacidade do cliente de tomar decisões informadas sobre quais empresas confiar com dados de endereço físico.

O precedente existe fora das criptomoedas. As redes de cartões de pagamento exigem que os comerciantes e seus processadores mantenham a conformidade com o PCI DSS, incluindo varredura regular de vulnerabilidades e testes de penetração. Um comerciante que não cumpre a conformidade pode perder a capacidade de processar cartões. Não existe padrão equivalente para empresas que lidam com dados de endereço de clientes de criptomoedas. A indústria trata os dados de endereço como um detalhe logístico, em vez de um ativo crítico de segurança, embora os dados de endereço combinados com prova de propriedade de criptomoedas criem um risco por registro maior do que um número de cartão de crédito roubado, que pode ser revertido, jamais teria.

O anúncio da Trezor sobre Entrega Anônima é o primeiro sinal de que pelo menos uma empresa reconhece o problema estrutural. Se os concorrentes seguirão e se a abordagem se estenderá além do envio para análises, suporte e ferramentas de marketing determinará se agosto de 2026 se tornará um ponto de virada ou outro incidente que produz divulgações, notificações e nenhuma mudança duradoura.

O caso contrário: por que isso pode não mudar muito

O contra-argumento é que as violações de dados são rotineiras e a conexão com a violência física é exagerada. Milhões de registros de clientes de comércio eletrônico são roubados anualmente. A grande maioria das vítimas não experimenta nada pior do que spam. Ataques de chave inglesa, embora estejam aumentando, permanecem raros em termos absolutos: 52 casos verificados em cerca de 400 milhões de usuários de criptomoedas globalmente.

Esse argumento tem mérito na taxa base. Ele falha no problema de seleção. Uma violação genérica de comércio eletrônico não diz a um atacante quais vítimas têm ativos líquidos e ao portador armazenados em um endereço conhecido. Uma violação de carteira ou corretora de criptomoedas diz. O atacante pode filtrar o banco de dados roubado para alvos de alto valor usando histórico de compras, endereços de carteira e frequência de pedidos. A segmentação é precisa de uma forma que uma violação de varejista de roupas nunca é.

A Coinbase divulgou em seu relatório anual mais recente que gastou US$ 8,7 milhões em medidas de segurança física para funcionários e executivos em resposta à tendência de ataques de chave inglesa. Se a ameaça fosse exagerada, esse item de linha não existiria.

O que assistir

• Linha do tempo do lançamento do Trezor Anonymous Delivery. A meta da UE é setembro de 2026, a meta dos EUA é o final do ano. Se for lançado no prazo, outros fabricantes de carteiras de hardware enfrentarão pressão para igualar.
• Taxa de adoção do patch do Metabase. Na data do aviso, mais de 97% das instâncias auto-hospedadas identificadas em ramos afetados não estavam corrigidas. A próxima onda de violações do CVE-2026-72898 é uma questão de tempo, não de probabilidade.
• Resposta legislativa francesa. Com 33 dos 52 ataques de chave inglesa verificados concentrados na França, o ministério do interior do país sinalizou uma possível ação regulatória sobre como as empresas de criptomoedas armazenam e compartilham dados de endereço de clientes.
• Relatórios da CertiK e Chainalysis do segundo semestre de 2026. Os números do primeiro semestre mostraram 52 incidentes e US$ 124,1 milhões em exposição. Os dados do segundo semestre, esperados no início de 2027, mostrarão se o aglomerado de violações de agosto produz um aumento mensurável em ataques físicos.
• Mudanças nas políticas de retenção em todo o setor. A SafePal passou para 90 dias. Se os concorrentes seguirem ou se 90 dias se tornar um padrão de fato, isso sinalizará o quão seriamente o setor trata o problema dos dados do fornecedor.

Perguntas frequentes