Swiss Bitcoin Pay confirma acesso indevido e deixa pontos centrais sem resposta

Depois de cortar o acesso ao próprio aplicativo e deixar mais de mil comerciantes sem conseguir processar pagamentos, a Swiss Bitcoin Pay revelou nesta segunda-feira que um agente não autorizado entrou em seus sistemas internos. A empresa se recusou a explicar como a invasão ocorreu e não informou quantos clientes foram atingidos.

A companhia, com sede em Neuchâtel, opera desde o fim de 2022 como intermediária financeira registrada segundo as normas suíças contra lavagem de dinheiro.

De acordo com o comunicado divulgado na conta oficial da empresa na rede X, uma pessoa não autorizada teria obtido acesso ao ambiente interno da companhia. A equipe optou por desligar a infraestrutura como medida preventiva enquanto investiga a extensão do problema e reforça as defesas do sistema.

O aplicativo, hoje usado por mais de mil comerciantes em 21 países, ficou sem previsão de retorno.

Entre as informações que podem ter sido alcançadas estão endereços de email de clientes, endereços de bitcoin usados nas transações, números de IBAN vinculados a contas bancárias, o histórico de pagamentos processados pela plataforma e senhas armazenadas em formato hash. A empresa afirmou que ainda não é possível confirmar se outras categorias de dados também foram atingidas.

Segundo a Swiss Bitcoin Pay, nenhum fundo de cliente corre risco e qualquer valor pendente será devolvido integralmente.

A garantia chama atenção porque a empresa se apresenta como uma processadora sem custódia, modelo em que o bitcoin pago pelo consumidor final vai direto para a carteira do comerciante, sem passar pelo controle da plataforma. Esse desenho reduziria o risco financeiro direto de um ataque a servidores internos, já que não haveria reservas centralizadas para subtrair.

O detalhe que a empresa teve que explicar

Dias antes do incidente, um usuário havia questionado publicamente como uma empresa sem custódia poderia garantir a segurança de fundos que, em tese, nunca ficam sob seu controle. A Swiss Bitcoin Pay respondeu que consolida pagamentos recebidos via Lightning em uma única transação on chain, de forma diária, semanal ou mensal, e que esse processo pode manter parte dos valores temporariamente dentro da própria plataforma.

A explicação relativiza, ainda que parcialmente, o discurso de segurança automática associado ao modelo sem custódia.

Isso não significa que os fundos estejam em risco imediato. Significa apenas que parte da proteção depende também de como a empresa administra essa janela de consolidação, algo que escapa ao controle do usuário final e passa a exigir confiança direta na operação interna da companhia.

O que a Suíça exige e o que a empresa ainda não disse

A legislação suíça de proteção de dados, revisada nos últimos anos, obriga intermediários financeiros a notificar o órgão federal responsável pelo tema sempre que uma violação representar risco elevado aos direitos das pessoas afetadas. A mesma norma prevê comunicação direta aos titulares dos dados quando esse risco se confirma. Até o momento, a Swiss Bitcoin Pay não informou publicamente se esse processo já foi iniciado, nem se autoridades policiais foram acionadas.

A empresa também não revelou quantos clientes podem ter sido afetados.

Não há indicação pública sobre quando o acesso indevido começou, por quanto tempo o responsável permaneceu dentro dos sistemas ou se os dados chegaram a ser copiados para fora da infraestrutura da empresa. Essas lacunas dificultam qualquer avaliação real do tamanho do problema, tanto para clientes quanto para reguladores.

Um padrão que se repete no mercado suíço

O episódio não é isolado dentro do próprio ecossistema cripto do país. Em agosto, a Pocket Bitcoin, outro serviço ligado ao setor na Suíça, expôs dados de 5.411 clientes em um incidente distinto, também sem indicação de perda de fundos.

Os dois casos reforçam uma percepção incômoda para um mercado que costuma vender rigor regulatório como diferencial.

As falhas ficam sempre na camada construída por cada empresa em torno da rede, seja um servidor interno mal protegido, um processo de verificação frágil ou uma resposta aceita para um pedido externo que jamais deveria ter passado pelos controles. É nessa camada que mora o risco real para quem usa esses serviços no dia a dia.

Para clientes da Swiss Bitcoin Pay, a orientação prática por enquanto se resume a desconfiar de contatos não solicitados que citem a empresa, evitar clicar em links recebidos por email e aguardar uma atualização oficial antes de tomar qualquer decisão sobre contas ou carteiras vinculadas ao serviço. O episódio, mais uma vez, expõe que o maior risco de um sistema de pagamentos em bitcoin pode não estar na rede em si, mas na falta de transparência de quem administra o acesso a ela.