Fugas de dados KYC põem cripto em risco: mantenha os Bitcoin privados

A 30 de junho de 2025, investigadores franceses detiveram uma funcionária das finanças de 32 anos que trabalhava perto de Paris. A acusação diz que ela usou o software fiscal do Estado para consultar moradas de contribuintes e depois passou esses dados a criminosos. Entre os perfis consultados estariam pessoas suspeitas de deter grandes quantias em criptomoedas. Ela nega saber para que serviria a informação. O caso continua sob investigação.

Um ano depois, a França tornara-se o epicentro mundial dos chamados wrench attacks, ou ataques de chave inglesa: raptos, assaltos a casas e agressões para obrigar quem tem cripto a entregar as moedas. A lição vai muito além de um país. Quando uma fuga de dados KYC liga o seu nome aos seus Bitcoin, o risco deixa de ficar só na internet.

Um ficheiro fiscal que virou lista de alvos

A funcionária, identificada nos media franceses como Ghalia C., é acusada de cumplicidade em violência e de associação criminosa, segundo a Gizmodo. Em janeiro de 2026, um tribunal de recurso de Paris recusou a sua libertação. O caso dela é apenas um fio de um padrão mais amplo. A violência já tinha chegado aos nomes mais conhecidos do setor. Em janeiro de 2025, o cofundador da Ledger David Balland foi raptado em casa, no centro de França. A polícia libertou-o no dia seguinte, noticiou a DL News.

Em janeiro de 2026, a plataforma francesa de impostos sobre cripto Waltio revelou uma tentativa de extorsão depois de atacantes levarem dados ligados a cerca de 50.000 contas. Os ficheiros roubados incluíam relatórios fiscais de 2024 com emails, ganhos, perdas e saldos de ativos no fim do ano, noticiou a DL News. As autoridades francesas alertaram os utilizadores para possíveis ataques físicos.

Depois, em agosto de 2026, a administração fiscal francesa confirmou que hackers tinham usado credenciais roubadas a funcionários para aceder a registos de cerca de 678.000 contribuintes. Os dados expostos incluíam nomes, moradas e rendimento de referência. Cerca de 27.000 dessas pessoas tinham declarado pelo menos 100.000 € por ano, noticiou a Unchained.

Os números que se seguiram são duros:

• 41 raptos de detentores de cripto em França nos primeiros três meses e meio de 2026, segundo números citados pelo procurador nacional contra o crime organizado.
• 30 de 46 ataques violentos ligados a cripto registados no mundo no primeiro semestre de 2026 aconteceram em França, segundo dados da Chainalysis citados pela Decrypt.
• Mais de 30 milhões de dólares foram levados nesses ataques em seis meses.

A Chainalysis diz que a violação dos registos fiscais terá alargado o leque de pessoas que os criminosos podiam visar. Nota também que as vítimas são muitas vezes encontradas através de fugas de dados, redes sociais ou dicas de quem está por dentro. Ou seja, os atacantes não precisaram de quebrar nenhuma blockchain. Bastou-lhes um nome ao lado de um saldo.

Não é só a França: fugas de dados que expuseram quem tem cripto

A França é o exemplo mais gritante, mas a mesma história repete-se em bancos, exchanges, fabricantes de carteiras e prestadores de serviços. A tabela abaixo reúne alguns dos casos mais bem documentados.

Ledger: a fuga que trouxe as ameaças à porta de casa

Em 2020, uma violação da base de dados de marketing da Ledger expôs os contactos de compradores de carteiras físicas. Quando o ficheiro completo apareceu num fórum de hackers, continha 272.000 moradas, como documentou o Cointelegraph. Os clientes receberam pouco depois emails de phishing. Alguns receberam também cartas ameaçadoras a exigir pagamento em Bitcoin. Comprar um dispositivo para proteger as moedas tinha posto os compradores numa lista de prováveis detentores.

Revolut: um funcionário enganado, 50.000 clientes

Em setembro de 2022, um atacante entrou nos sistemas da Revolut manipulando um funcionário. Os dados pessoais de 50.150 clientes ficaram expostos. Seguiram-se rapidamente mensagens de phishing a imitar o banco, noticiou a Which?. Não foram levados fundos. Mesmo assim, nomes e moradas de clientes de um banco amigo das cripto estavam agora em mãos criminosas.

Coinbase: quando quem está por dentro vende os dados

Em maio de 2025, a Coinbase revelou que criminosos tinham subornado agentes de apoio no estrangeiro para copiar registos de clientes. Os dados roubados abrangiam 69.461 pessoas e incluíam imagens de documentos de identidade, noticiou o The Register. Os atacantes exigiram depois 20 milhões de dólares. A Coinbase recusou pagar e estimou o custo do incidente em até 400 milhões de dólares. Os dados terão sido usados para se fazerem passar por funcionários em burlas dirigidas.

Kroll: um crédito de insolvência vira pista

Em agosto de 2023, um SIM swap contra um funcionário da Kroll expôs dados de pessoas que reclamavam fundos das falidas FTX, BlockFi e Genesis. Para alguns credores, a fuga mostrava nomes, moradas e saldos de conta, noticiou a Help Net Security. Eram pessoas que já tinham perdido dinheiro. Agora, também os créditos que lhes restavam estavam à vista.

Porque é que uma fuga de dados KYC é pior do que uma fuga de palavras-passe

A maioria das violações de dados é má. Os dados de "conheça o seu cliente", ou KYC, são uma categoria à parte, por três razões.

Nunca expiram. Uma palavra-passe exposta muda-se num minuto. Um número de passaporte, um registo facial ou uma morada não. Quando um registo KYC é exposto, continua útil para os criminosos durante anos.

Ligam a identidade ao dinheiro. Um registo de uma exchange não diz só quem é. Diz o que tem, para onde o levantou e quando. Essa combinação é exatamente o que um assaltante precisa para escolher um alvo.

A blockchain lembra-se de tudo. Se um registo exposto contiver um dos seus endereços de carteira, qualquer pessoa pode seguir o histórico dessa carteira daí para a frente. Cada pagamento, cada transferência e cada novo endereço financiado a partir dela passa a fazer parte do seu perfil. Uma única fuga pode expor anos de atividade.

Pelas regras europeias contra a criminalidade financeira, as empresas reguladas guardam em geral os registos dos clientes durante pelo menos cinco anos depois de a conta fechar. Fechar uma conta não o tira, portanto, da base de dados.

Da folha de cálculo à porta de casa: como uma fuga vira ataque

Os investigadores descrevem uma cadeia de acontecimentos que se repete. Primeiro, uma fuga ou alguém lá dentro produz uma lista de nomes, moradas e dados de conta. Depois, quem a compra filtra essa lista à procura de prováveis detentores de cripto, muitas vezes pelo saldo ou pelo rendimento. A seguir confirma o alvo, por vezes rastreando uma carteira conhecida num explorador de blocos público. Por fim, uma equipa contratada aparece à porta.

A Chainalysis resumiu estas equipas como "amadoras no momento da violência, mas profissionais nas duas pontas". A pesquisa, a compra dos dados e a conversão das moedas roubadas em dinheiro são organizadas. Só a invasão em si é tosca.

O programador de Bitcoin Jameson Lopp mantém um registo público de ataques físicos a detentores de cripto que recua mais de uma década. Mostra uma subida constante, com 2025 a bater um recorde. O ponto comum em muitas entradas é simples: o atacante sabia quem era a vítima e, mais ou menos, o que ela tinha.

A verdadeira solução: fazer com que os dados expostos não levem a lado nenhum

Ninguém consegue impedir que um serviço de finanças, um banco ou uma exchange seja atacado. Mas qualquer pessoa pode controlar o que esses dados expostos revelam. O objetivo é simples: um registo exposto deve levar a uma carteira vazia, fechada ou sem relação com as suas poupanças.

Isso significa manter uma separação clara entre dois mundos:

• O mundo identificado: contas em exchanges, cartões bancários e qualquer carteira que alguma vez tenha recebido um levantamento com KYC. Parta do princípio de que tudo isto vai ser exposto um dia.
• O mundo privado: as carteiras que guardam de facto as suas poupanças ou fazem os seus pagamentos do dia a dia. Nenhuma delas deve ter uma ligação on-chain ao mundo identificado.

Um misturador de Bitcoin cria essa separação. As moedas saem de um endereço ligado à exchange para um endereço de mistura de uso único. Horas depois, no horário que escolher, moedas novas chegam a uma carteira nova sem ligação visível à antiga. Se a base de dados da exchange for exposta mais tarde, o rasto acaba no misturador. A sua carteira de poupanças nunca aparece nele.

O que um registo exposto revela, com e sem separação

As duas primeiras linhas não têm remédio depois de uma fuga. As três últimas têm. São elas que dizem a um criminoso se vale a pena visá-lo.

O que fazer se os seus dados foram expostos numa fuga

Se uma empresa lhe disser que os seus dados foram expostos, aja com calma, mas depressa.

1. Desconfie de todos os contactos. Depois de uma fuga vem o phishing. Nenhuma empresa verdadeira vai solicitar uma seed phrase, uma chave privada ou uma sessão remota.
2. Retire os fundos dos endereços conhecidos. Qualquer carteira ligada à conta exposta deve ser considerada pública. Envie o saldo através de um misturador para uma carteira totalmente nova.
3. Deixe de reutilizar as carteiras expostas. Não receba novos pagamentos nelas. Não financie novas carteiras diretamente a partir delas.
4. Reduza a sua pegada pública. Apague publicações que deem pistas sobre o que tem. Evite merchandising cripto ou caixas de carteiras que revelem o que possui.
5. Use outra morada de entrega para carteiras físicas ou tudo o que tenha a ver com cripto, como um serviço de apartado ou a morada do trabalho.
6. Divida o que tem. Manter um saldo modesto numa carteira de acesso fácil limita o que alguém pode exigir sob pressão.

Para aprofundar o lado das carteiras, leia o guia de privacidade em Bitcoin. Quem usa Ethereum enfrenta riscos de ligação adicionais, explicados no guia de privacidade em Ethereum.

Perguntas frequentes

O que é uma fuga de dados KYC?

É a exposição de registos de identidade que uma empresa financeira recolheu para verificar os seus clientes. Costumam incluir nomes, moradas, documentos de identidade, selfies e saldos de conta. As fugas acontecem por ataques informáticos, funcionários enganados, pessoas de dentro subornadas ou fornecedores externos descuidados.

Que empresas de cripto expuseram dados de clientes?

Entre os casos bem documentados estão a Ledger em 2020, os dados de credores em insolvências da Kroll em 2023, a Coinbase em 2025 e a Waltio em 2026. Bancos como a Revolut também sofreram violações. Bases de dados públicas, como a da administração fiscal francesa, também foram comprometidas.

O que é um wrench attack?

Um wrench attack, ou ataque de chave inglesa, é um ataque físico para obrigar alguém a entregar cripto. O nome vem da ideia de que uma ferramenta simples consegue vencer a encriptação mais forte. Raptos e assaltos a casas são as formas mais comuns.

Posso exigir a uma exchange que apague os meus dados KYC?

Normalmente não de imediato. As empresas reguladas têm de guardar os registos dos clientes durante vários anos, muitas vezes pelo menos cinco depois de a conta fechar. A proteção prática é garantir que esses dados já não apontam para as suas carteiras atuais.

Como ajuda um misturador depois de uma fuga?

Um misturador quebra a ligação on-chain entre um endereço ligado a uma exchange e uma carteira nova. O registo exposto pode continuar a mostrar o seu nome e o seu antigo endereço de levantamento. Já não leva ao sítio onde as suas moedas estão agora.

Uma carteira física chega para estar seguro?

Mantém as suas chaves privadas longe de malware. O seu saldo e a sua identidade continuam tão visíveis como antes. Como mostrou o caso da Ledger, até comprar uma pode pôr a sua morada numa lista.

Fontes

• French tax agent allegedly sold personal data of crypto users to criminals, Gizmodo
• French tax agency breach exposes about 678,000 taxpayers, Unchained
• Hackers extort French crypto firm Waltio, DL News
• Crypto wrench attacks: $30M stolen in 2026, Decrypt
• Ledger data leak exposed 270K crypto wallet buyers, Cointelegraph
• Revolut data hack: what you need to know, Which?
• Coinbase confirms insiders handed over data of 70K users, The Register
• Kroll SIM-swap attack: FTX, BlockFi and Genesis clients' info exposed, Help Net Security
• Ledger co-founder David Balland and wife kidnapped in France, DL News
• Physical Bitcoin attacks log, Jameson Lopp
• Know your customer, Wikipedia