Quatro vazamentos em um dia e nenhuma carteira esvaziada, o que sobra para o golpe é a lista de contatos

Changpeng Zhao, o CZ, publicou na manhã desta quarta-feira uma lista curta. Quatro vazamentos de dados comunicados no mesmo dia, dois em exchanges e dois em empresas de serviços financeiros da Coreia do Sul. A Coinbase apareceu por uma fornecedora que ela usa, a Bithumb por um acesso indevido à sua rede interna, e as corretoras Mirae Asset e Daishin Securities por incidentes separados.

Em nenhum dos quatro casos houve perda de fundos de clientes. É justamente aí que começa o problema, porque o que vazou foi nome, email, telefone e, em um deles, endereço residencial de gente que tem saldo em corretora.

A Daishin foi a única a fechar um número. São 38.490 clientes com dados pessoais e de crédito expostos, depois que invasores atacaram um servidor ligado ao serviço de abertura remota de conta. A atividade suspeita apareceu em 17 de outubro, quando a corretora bloqueou os endereços IP usados no ataque. Ao longo de dez dias, com apoio do órgão de segurança do setor financeiro coreano, ela examinou cerca de 60 mil requisições que se disfarçavam de tráfego legítimo até confirmar a invasão, em 26 de outubro.

Os registros alcançados somam oito categorias, entre nome, email, endereço, identificadores de comunicação, nome do banco, números de conta de depósito e de valores e telefone. A corretora afirma que as contas bancárias, as contas de valores e os celulares estavam criptografados. O presidente-executivo, Jin Seung-wook, pediu desculpas aos clientes, prometeu mais controle de acesso e disse que vai checar as conexões externas.

O caso da Bithumb continua em apuração. A exchange coreana detectou em 27 de outubro o acesso de alguém de fora ao seu groupware móvel, o sistema que os funcionários usam para comunicação interna. Ela comunicou o episódio no mesmo dia à agência de segurança da internet e à autoridade de proteção de dados do país.

Houve exposição de dados pessoais, mas o alcance ainda não está fechado, inclusive se informações de conta de clientes entraram no lote. A exchange sustenta que o ambiente de trabalho é isolado da infraestrutura de negociação, o que impede que os ativos digitais dos clientes sejam alcançados por ali.

Na Coinbase, a invasão não foi na Coinbase. A exchange disse que não sofreu vazamento próprio e que a origem está na Amplitude, empresa de análise de dados que ela contrata e que também atende outros clientes. O incidente atingiu um subconjunto pequeno de dados de contato dos clientes da exchange, misturado a informações de clientes de outras empresas da fornecedora.

A Coinbase afirma que nada indica acesso indevido aos seus sistemas e avisa os afetados por email, como manda a lei. Não disse quantas pessoas foram atingidas.

A Mirae Asset Global Investments relatou acesso não autorizado a sistemas web internos usados na operação da empresa. Na versão da gestora, os invasores viram informações de rotina do negócio, sem credenciais legítimas, e nenhum dado dos investidores apareceu.

Não houve prejuízo financeiro, infecção por malware ou interrupção de serviço, e a empresa diz que a investigação não achou sinal de intrusão direta nos servidores nem nos bancos de dados. A gestora bloqueou os caminhos de acesso, avisou a FSC, a comissão de valores, e a FSS, que fiscaliza os bancos, e contratou uma empresa de segurança para conduzir a apuração.

Três dos quatro episódios vieram de fora do cofre

O fio que liga os casos está no caminho de entrada. A Coinbase foi atingida por meio de uma fornecedora de software. A Bithumb teve o sistema de conversa dos funcionários comprometido enquanto a carteira seguia fora de alcance. Na Daishin, o dado saiu por um servidor de abertura de conta, uma porta lateral do negócio. Em três dos quatro episódios, o dinheiro nunca esteve ao alcance de quem invadiu, e o que saiu foi o cadastro.

O roteiro já tinha sido ensaiado em setembro, quando a Trezor confirmou 67 mil clientes expostos em um vazamento na ShipMonk, a empresa que guardava os produtos e processava os envios da loja.

Para quem opera exchange, esse tipo de dado vale por si. Nome, email e telefone de um cliente de corretora são material para phishing, troca de chip e engenharia social, e o alvo deixa de ser um número qualquer na internet para virar alguém com saldo que justifica o trabalho.

O que ele recomenda na prática

A primeira sugestão é separar identidades. Um endereço de email diferente para cada exchange isola o vazamento e ainda mostra qual serviço perdeu o dado quando o golpe chegar. A segunda é aposentar o SMS como segundo fator. Código por mensagem depende do número de telefone, que é justamente o que circula nas listas vazadas e o que a troca de chip ataca. No lugar dele, aplicativo autenticador, chave física ou passkey.

O restante é o que o mercado chama de trava de saída. Whitelist de endereços, atraso para retirada, código anti-phishing quando a exchange oferece, PIN de portabilidade junto à operadora, revisão de sessões abertas e de chaves de API antigas.

CZ foi além do perímetro da conta e falou do risco de rua. Endereço vazado somado a informação de quanto a pessoa tem já rendeu extorsão e assalto, e a recomendação é não divulgar posições e manter saldo grande longe de qualquer coisa ligada ao endereço de casa.

O conselho chega na esteira de mais um episódio. Nesta semana, a Foundation, que fabrica a carteira Passport, teve chaves de API da Cloudflare comprometidas e viu emails falsos saírem de domínios oficiais da empresa. Os dispositivos e os fundos dos clientes ficaram intactos, mas os emails de phishing traziam o endereço residencial real dos destinatários, obtido em vazamentos anteriores.

O quadro coreano é maior do que os dois nomes citados por CZ. Reguladores identificaram incidentes em 16 empresas financeiras neste mês, entre elas a Streami, que opera a Gopax, e a Prabang, prestadora de serviços de ativos virtuais. A onda começou com o Shinhan Bank no fim de setembro.

No levantamento da Chainalysis, ataques físicos contra donos de cripto somaram mais de US$ 30 milhões no primeiro semestre deste ano, em 46 casos registrados até o fim de junho.

Até agora, o único número fechado entre os quatro vazamentos é o da Daishin, 38.490 clientes. Coinbase, Bithumb e Mirae Asset não informaram quantas pessoas foram atingidas, e no caso da Bithumb nem sequer o escopo do que vazou está definido.