CZ: Os utilizadores devem proteger os seus dados e reduzir a reutilização de informações entre plataformas

As fugas de dados tornaram-se um risco persistente no setor das criptomoedas. Mesmo quando os fundos dos clientes não são diretamente expostos, a divulgação de informações pessoais pode criar condições para ataques de phishing, troca fraudulenta de cartões SIM, roubo de identidade e engenharia social direcionada.

A 28 de outubro, o fundador da Binance, Changpeng Zhao, conhecido geralmente como CZ, chamou a atenção para vários incidentes de exposição de dados que afetaram empresas tanto do setor dos ativos digitais como do setor financeiro tradicional. Os casos divulgados envolveram um prestador de serviços ligado à Coinbase, a exchange sul-coreana de criptomoedas Bithumb e duas corretoras sul-coreanas: Mirae Asset e Daishin Securities. No incidente relacionado com a Coinbase, as informações expostas teriam envolvido dados de contacto dos utilizadores, e não o acesso aos seus fundos.

Estes incidentes apontam para uma realidade importante para os utilizadores de criptomoedas: talvez não seja possível impedir que uma empresa sofra uma violação de segurança, mas é possível reduzir os danos causados pelas informações partilhadas.

Porque é que uma fuga de dados pode tornar-se um problema de segurança cripto

Um endereço de email ou número de telefone exposto pode parecer inofensivo por si só. No entanto, os atacantes podem combinar vários dados para criar um perfil convincente do alvo.

As informações normalmente expostas em fugas de dados de serviços financeiros podem incluir:

• Nome completo
• Endereço de email
• Número de telefone
• Morada residencial ou endereço postal
• Dados de documentos de identificação
• Atividade de negociação ou da conta
• Interações com o serviço de apoio ao cliente

Estas informações podem ser utilizadas para fazer com que mensagens fraudulentas pareçam legítimas. Um atacante pode fazer-se passar por uma exchange, fornecedor de carteira, banco ou equipa de conformidade e alegar que o destinatário precisa de concluir uma verificação, desbloquear uma conta ou confirmar uma transação suspeita.

Muitas vezes, o objetivo não é invadir diretamente uma plataforma. Em vez disso, os atacantes tentam convencer a vítima a revelar uma palavra-passe, aprovar uma transação, instalar software malicioso ou divulgar uma frase de recuperação.

As orientações da Comissão Federal do Comércio dos EUA sobre fraudes de troca de SIM explicam como os criminosos podem assumir o controlo do número de telefone de uma vítima e utilizá-lo para receber códigos de autenticação. No setor das criptomoedas, isto pode ser especialmente perigoso quando o número de telefone é utilizado como método de recuperação ou como principal fator de acesso à conta.

Os riscos de reutilizar as mesmas informações em todo o lado

Muitos utilizadores registam-se em várias exchanges, carteiras, mercados de NFT, serviços de pagamento e aplicações de blockchain utilizando o mesmo endereço de email e número de telefone. Isto torna a gestão das contas mais conveniente, mas também cria uma forte ligação entre serviços que, de outra forma, estariam separados.

Se uma base de dados for comprometida, os atacantes podem utilizar as informações divulgadas para:

1. Identificar outras plataformas onde a vítima possa ter uma conta.
2. Associar a identidade real de uma pessoa à sua atividade em criptomoedas.
3. Enviar mensagens de phishing altamente personalizadas.
4. Tentar redefinir palavras-passe de serviços não relacionados.
5. Procurar informações adicionais através de fontes públicas.
6. Visar a vítima com ataques de engenharia social.

Quanto mais plataformas partilharem os mesmos identificadores, mais fácil será criar um perfil completo. Isto é particularmente preocupante para os utilizadores que mantêm ativos digitais em várias exchanges ou interagem com aplicações descentralizadas através de uma identidade reconhecível.

A minimização de dados não é, portanto, apenas um princípio de privacidade. É também uma componente prática de uma estratégia de segurança no setor das criptomoedas.

Utilize aliases de email separados para diferentes serviços

Uma das melhorias mais simples consiste em utilizar um alias de email exclusivo para cada exchange ou plataforma financeira importante.

Por exemplo, em vez de utilizar o mesmo endereço em todo o lado, um utilizador pode criar aliases separados para:

• Uma exchange centralizada
• Um serviço de conversão de moeda fiduciária
• Uma plataforma de negociação
• Um serviço de análise de blockchain
• Uma conta de carteira de software ou hardware
• Um serviço web não financeiro

Se um dos aliases começar mais tarde a receber mensagens suspeitas, o utilizador poderá identificar qual o serviço que poderá ter exposto ou partilhado o endereço. Mais importante ainda, um alias exclusivo dificulta a associação dessa conta às restantes identidades online do utilizador.

Um alias não deve ser visto como substituto de uma autenticação forte. Funciona melhor em conjunto com uma palavra-passe exclusiva, um gestor de palavras-passe e autenticação multifator resistente a phishing, quando disponível. As orientações do National Institute of Standards and Technology sobre identidade digital apresentam recomendações mais abrangentes sobre autenticação e segurança de contas.

Reduza a quantidade de informações pessoais que partilha

Os utilizadores também devem refletir cuidadosamente sobre as informações exigidas durante o registo e a verificação de uma conta.

Algumas plataformas de criptomoedas têm de recolher informações de identidade para cumprir requisitos legais e regulamentares. Nesses casos, os utilizadores podem não conseguir evitar o envio de documentos. Ainda assim, podem reduzir a exposição desnecessária:

• Evitando preencher campos de perfil opcionais
• Removendo números de telefone que já não utilizam das contas, sempre que possível
• Limitando a divulgação pública de endereços de carteiras
• Evitando capturas de ecrã que revelem saldos ou histórico de transações
• Mantendo os perfis pessoais nas redes sociais separados das identidades relacionadas com criptomoedas
• Revendo as definições de privacidade nas exchanges e aplicações financeiras
• Eliminando contas inativas quando o serviço o permitir

Os utilizadores também devem ter cuidado ao partilhar documentos de identificação com plataformas desconhecidas. Antes de concluir uma verificação, confirme a identidade legal da empresa, as suas práticas de segurança, a política de privacidade e os canais de apoio ao cliente. Um pedido de documentos sensíveis recebido através de uma mensagem não solicitada deve ser tratado como suspeito, mesmo que a mensagem contenha dados pessoais corretos.

Como se proteger contra phishing depois de uma fuga de dados

Uma fuga de dados pode tornar futuras fraudes mais credíveis. Os utilizadores devem assumir que uma mensagem que contenha o seu nome, número de telefone ou parte do seu histórico de transações pode continuar a ser fraudulenta.

Antes de tomar qualquer medida:

• Não clique em links presentes em alertas inesperados sobre a conta.
• Aceda ao serviço através de um site guardado nos favoritos ou da aplicação oficial.
• Nunca partilhe uma frase-semente, chave privada ou código de autenticação de utilização única.
• Trate como de alto risco os pedidos urgentes relacionados com levantamentos ou bloqueios de contas.
• Verifique os pedidos de apoio através de um canal independente.
• Confirme o nome exato do domínio antes de introduzir as suas credenciais.
• Não instale software a pedido de um desconhecido que se apresente como “agente de apoio”.

Uma plataforma legítima nunca precisará da frase de recuperação de um utilizador para restaurar o acesso ou investigar uma transação. Qualquer pessoa que a solicite está a tentar assumir o controlo da carteira.

As orientações da Cybersecurity and Infrastructure Security Agency sobre phishing também recomendam abrandar e verificar de forma independente os pedidos inesperados, em vez de responder sob pressão.

A autocustódia não elimina os riscos de privacidade

A autocustódia pode reduzir a dependência de terceiros no controlo das chaves privadas, mas não resolve automaticamente os problemas de identidade e privacidade.

Um utilizador pode manter ativos numa carteira autocustodiada e, ainda assim, expor dados pessoais através de contas em exchanges, aplicações de blockchain, plataformas sociais ou divulgação pública de endereços de carteiras. Se um endereço de carteira estiver associado a um nome, endereço de email ou conta de negociação, a atividade na blockchain poderá ser mais facilmente analisada e relacionada com uma identidade real.

Uma abordagem mais segura combina várias camadas:

• Mantenha as chaves privadas e as frases de recuperação offline.
• Utilize uma identidade de email dedicada para serviços financeiros.
• Evite publicar endereços de carteiras sem necessidade.
• Reveja os detalhes das transações antes de as assinar.
• Separe os ativos de longo prazo da atividade de negociação frequente.
• Mantenha as cópias de segurança protegidas e nunca guarde frases de recuperação em documentos na nuvem ou aplicações de mensagens.

Para os utilizadores que pretendem manter as chaves privadas sob o seu próprio controlo, as carteiras de hardware OneKey disponibilizam um ambiente de assinatura offline concebido para ajudar a isolar operações sensíveis da carteira de computadores e sites potencialmente comprometidos. Isto não impede que uma exchange ou prestador de serviços sofra uma fuga de dados, mas pode reduzir a probabilidade de que informações de contacto expostas conduzam diretamente à aprovação não autorizada de transações.

Um modelo de segurança mais resiliente para os utilizadores de criptomoedas

Nenhuma medida de segurança, por si só, consegue impedir todos os ataques. Podem ocorrer fugas de dados em exchanges, fornecedores de análises, processadores de pagamentos, empresas de telecomunicações e instituições financeiras fora do setor das criptomoedas.

O objetivo mais realista é limitar a quantidade de informação exposta, dificultar a associação entre contas e garantir que a divulgação de uma identidade não conduz automaticamente ao controlo de ativos digitais.

A utilização de aliases de email exclusivos, a redução da partilha desnecessária de dados, o reforço da autenticação e a manutenção das chaves privadas separadas dos serviços online podem melhorar significativamente o nível de segurança de um utilizador. Como sugere o alerta de CZ, a proteção dos dados pessoais está a tornar-se uma parte essencial da posse responsável de criptomoedas — e não uma simples melhoria opcional de privacidade.