Pocket Bitcoin, um serviço regulamentado de compra de bitcoin não custodial sediado na Suíça, revelou que uma violação de segurança em seu sistema de suporte expôs dados pessoais de 5.411 clientes. A empresa afirma que até o momento não foi detectado nenhum uso indevido das informações comprometidas.
O incidente, que se desenrolou ao longo de aproximadamente uma semana em meados de agosto de 2026, envolveu acesso não autorizado a um banco de dados interno ligado à infraestrutura de suporte ao cliente da Pocket Bitcoin. A empresa cortou o acesso do invasor até 16 de agosto e anunciou publicamente a violação em 21 de agosto.
O que foi exposto e o que não foi
Uma análise detalhada divulgada em 31 de agosto dividiu os usuários afetados em dois grupos. O primeiro, composto por 291 indivíduos, teve sua correspondência com instituições financeiras comprometida. Essa correspondência incluía nomes, endereços e documentos, o tipo de material que costuma surgir durante trocas de conformidade com bancos parceiros.
O segundo e muito maior grupo, 5.120 clientes, teve listas de transações expostas. Essas listas, fornecidas por bancos parceiros, continham dados pessoais vinculados a transferências bancárias.
A distinção importa. Para o grupo menor, a violação é significativamente pior: suas identidades no mundo real poderiam potencialmente ser vinculadas aos seus endereços de bitcoin.
A Pocket Bitcoin enfatizou que nenhum perfil de KYC, histórico completo de transações ou fundos dos clientes foram comprometidos. Como o serviço é não custodial, ou seja, nunca detém os bitcoins dos usuários, nunca houve risco de perda financeira direta decorrente da violação.
Como a violação ocorreu
O acesso não autorizado foi rastreado até o sistema de suporte do Pocket Bitcoin, onde as conversas entre usuários e equipes de suporte são armazenadas. Os investigadores determinaram, até 19 de agosto, que endereços de e-mail e conversas de suporte haviam sido copiados do banco de dados interno.
A Pocket Bitcoin concluiu uma investigação forense e notificou as autoridades competentes na Suíça e no Liechtenstein, incluindo agências de aplicação da lei. Cada usuário afetado recebeu uma notificação individual sobre a exposição.
O problema de privacidade sob a superfície
Até a atualização mais recente da empresa em 3 de setembro, não houve casos confirmados de uso indevido dos dados expostos.
Para os 291 usuários cujos nomes, endereços e documentações foram comprometidos juntamente com sua correspondência relacionada ao bitcoin, o dano pode ser duradouro. Se essas informações forem divulgadas em mercados da darknet ou adquiridas por um agente motivado, elas poderão ser usadas para vincular indivíduos específicos a transações específicas de bitcoin.
O grupo mais amplo de 5.120 usuários enfrenta uma preocupação menos aguda, mas ainda significativa. Listas de transações vinculadas a transferências bancárias contêm metadados suficientes para construir perfis de comportamento de compra ao longo do tempo.