Hack da Liquid de 320 milhões de dólares coloca a identidade no centro
O hack da Liquid Network e as recentes fugas na Trezor e noutras entidades sublinham que os dados KYC são muitas vezes mais difíceis de recuperar do que o bitcoin roubado.
Pontos principais
- A Liquid Network perdeu cerca de 320 milhões de dólares num único exploit em 7 de setembro.
- Evin McMullen afirma que o bitcoin roubado por vezes ainda pode ser seguido, mas os dados de identidade divulgados são quase impossíveis de recuperar.
- Ele alerta que as empresas de criptomoedas armazenam demasiados dados pessoais, enquanto os agentes de IA aumentam o risco de novas fugas de dados.
O hack de cerca de 320 milhões de dólares (277 milhões de euros) na Liquid Network coloca, segundo Evin McMullen, não só a segurança das criptomoedas no centro, mas sobretudo a diferença entre o roubo on-chain que pode ser revertido e o dano de identidade permanente. O CEO e cofundador da Billions afirma que o bitcoin roubado por vezes ainda pode ser seguido ou devolvido, enquanto nomes, moradas e números de identificação divulgados são muito mais difíceis de recuperar.
Hack da Liquid e fugas de dados
Em 7 de setembro, uma blockchain que transfere bitcoin entre exchanges perdeu cerca de 320 milhões de dólares num único exploit. Pelo contexto em torno do incidente, trata-se da Liquid Network, uma sidechain de Bitcoin da Blockstream. Os atacantes terão apresentado-se como chamados hackers white-hat e até deixado uma mensagem numa transação de Bitcoin, na qual pediam à Liquid que tratasse de uma vulnerabilidade específica.
Ao mesmo tempo, a Trezor informou que mais 67.000 clientes foram afetados por uma fuga de nomes, números de telefone e moradas através de um parceiro de expedição. Num incidente separado, cerca de 200.000 registos vieram a público, com números de identificação governamentais ao lado de endereços de wallet verificados. McMullen também aponta que dados de morada roubados em 2020 a um fabricante de hardware wallet continuam, anos depois, a ser usados por correio em cartas fraudulentas sobre bitcoin. Também uma fuga de dados maior num broker mostra como os dados de identidade e os endereços de wallet podem rapidamente tornar-se num risco prolongado.
Porque a identidade pesa mais
O cerne do seu argumento é que as empresas de criptomoedas muitas vezes recolhem mais identidade do que o necessário. As crypto exchanges, os fabricantes de hardware wallet e os on-ramps pedem documentos, moradas e outros dados sensíveis, o que as torna num alvo atrativo para atacantes. Segundo McMullen, trata-se de um problema estrutural, porque uma característica verificada de um cliente também pode ser confirmada sem armazenar um dossiê de identidade completo.
Ele contrapõe a isso um modelo em que apenas se prova que alguém é, por exemplo, um cliente real e sancionado, sem que um passaporte fique guardado num servidor. Segundo ele, isso é mais importante agora que cada vez mais software passa a agir em nome das pessoas.
Os agentes de IA aumentam o risco
McMullen alerta que a ascensão dos agentes de IA pode aumentar ainda mais a pressão sobre este modelo. Se esses agentes passarem a fazer pagamentos em nome das pessoas e a transportar sempre consigo a identidade completa do seu proprietário, poderão surgir, segundo ele, não apenas algumas, mas milhares de milhões de novos honeypots. Para os leitores europeus de criptomoedas, isto toca numa discussão mais ampla sobre privacidade, KYC e a forma como as exchanges e as wallets armazenam dados.
A sua conclusão é clara: os 320 milhões de dólares (277 milhões de euros) em bitcoin roubado podem ainda vir a ser recuperados, mas as moradas, os IDs e os rostos não. Assim, o debate desloca-se da simples segurança da wallet para a questão de quão muitos dados pessoais a infraestrutura cripto deve, na realidade, reter.
