Kraken enfrenta tentativa de extorsão após vazamento interno de dados de clientes

Corretora diz que fundos não estiveram em risco, investiga incidente envolvendo dois funcionários de suporte e recusa negociar

A Kraken, uma das corretoras de criptomoedas mais antigas em operação, revelou nesta segunda-feira (13) estar sendo alvo de uma tentativa de extorsão. O grupo afirma ter acesso a vídeos de sistemas internos nos quais dados de clientes aparecem visíveis e exige pagamento para não divulgar o material. O diretor de segurança da empresa, Nick Percoco, foi direto: os sistemas não foram violados, os fundos não estiveram em risco e não haverá qualquer negociação com os criminosos.

Segundo a própria companhia, houve dois incidentes distintos: um em fevereiro de 2025 e outro mais recente. Em comum, ambos teriam origem em acessos indevidos realizados por dois funcionários da equipe de suporte, já afastados. A empresa estima que cerca de 2 mil usuários foram afetados, o equivalente a 0,02% da sua base, que supera 10 milhões de clientes, e afirma ter comunicado todos os envolvidos.

Kraken diz que não pagará e leva caso à Justiça

Em sua atualização, Percoco reforçou quatro pontos: a infraestrutura central não foi comprometida; carteiras e custódia seguiram íntegras; não há negociação com extorsionários; e a companhia reuniu elementos que julga suficientes para identificar os responsáveis e acionar os tribunais. O executivo evitou detalhar o conteúdo dos vídeos ou o escopo exato das informações expostas, o que é comum em investigações em andamento, mas sinalizou que não há mudanças no nível de risco operacional.

Recusar pagamento, nesse contexto, não é apenas postura pública. Pagar cria precedente e incentiva novas abordagens, algo que o setor já aprendeu na marra em incidentes de ransomware. Ao manter a linha de não negociação, a corretora tenta desestimular a economia do vazamento e, ao mesmo tempo, ganhar tempo para fortalecer controles e conduzir a responsabilização.

O que o caso revela sobre riscos no setor

O episódio escancara um vetor tão antigo quanto subestimado: a ameaça interna. Equipes de suporte, por natureza, enxergam telas que agregam dados sensíveis para resolver problemas com agilidade. Quando o desenho de acessos viola o princípio do menor privilégio, quando a segregação de ambientes é frouxa ou quando trilhas de auditoria e políticas de gravação não estão rigidamente controladas, a superfície de ataque se desloca do código para o comportamento humano. O resultado, como agora, não depende de um zero-day para causar estrago reputacional.

Também há mudança de tática entre criminosos. Se não conseguem furar a camada de custódia, procuram valor em dados capazes de turbinar golpes secundários, de phishing a tomadas de conta via engenharia social. O histórico recente no mercado cripto inclui desde longas operações de infiltração social que culminaram em roubos de alto valor até rumores recorrentes de vazamentos em grandes players. No mundo fora da tela, multiplicam-se relatos de sequestros e assaltos direcionados a investidores e executivos, um lembrete de que a segurança é multidimensional.

Para o usuário final, o risco imediato não é o saldo custodiado, e sim a exploração de informações para campanhas de engano. O caminho prudente inclui reforçar autenticação com TOTP ou chaves físicas, desconfiar de contatos “proativos” que pedem códigos de verificação, revisar permissões e rotação de chaves de API, e monitorar comunicações em busca de domínios sutilmente adulterados. É igualmente relevante limitar a exposição de dados pessoais em cadastros públicos ou agregadores e manter hábitos de “higiene” digital, como caixas de e-mail segmentadas para serviços críticos.

Do lado das empresas, a resposta passa por controles previsíveis, mas nem sempre praticados: segmentação rígida, revisão de perfis de acesso, gravação de sessões sob guarda e criptografia, monitoramento de anomalias de comportamento, e processos de desligamento que revoguem credenciais de forma imediata e verificável. A fala de Percoco sobre evidências para ação judicial indica coleta de logs e preservação forense, passos que, se bem executados, ajudam a transformar um incidente em caso exemplar de responsabilização.

No pano de fundo, está um mercado que movimenta trilhões de dólares e, inevitavelmente, atrai oportunistas. Diferenciar o ativo — como o Bitcoin e outros criptoativos — das práticas fraudulentas que tentam se aproveitar da infraestrutura e dos usuários é parte do amadurecimento do ecossistema. Em outras palavras: tecnologia reduz riscos técnicos, mas comportamento e governança mitigam os humanos.

Para quem deseja compreender melhor como golpes evoluem e como reduzi-los na prática, o BlockTrends oferece o curso Como se Proteger de Fraudes e Golpes, que explora o crescimento das fraudes no mercado cripto, diferencia ativo de golpe e apresenta medidas de proteção pessoais e operacionais com foco em prevenção e resposta.