Kraken recusa resgate após tentativa de extorsão interna atingir 2.000 contas

A Kraken recusa uma tentativa de extorsão criminosa após acesso interno impróprio ter exposto dados de cerca de 2.000 contas, mas afirma que não houve violação sistémica nem risco para os fundos dos clientes.

A exchange de criptomoedas Kraken afirma estar a ser chantageada por uma organização criminosa que alega ter vídeos que mostram acesso aos sistemas internos da empresa, mas prometeu não pagar qualquer resgate e mantém que os fundos dos clientes permanecem seguros. Numa declaração citada pela CoinDesk, a plataforma sublinhou que não houve "violação sistémica" da sua infraestrutura de negociação ou carteiras, descrevendo o incidente como um abuso direcionado de acesso interno e não como um hack bem-sucedido dos sistemas principais.

A Kraken afirmou que o episódio resulta de acesso impróprio por indivíduos ligados à sua operação de apoio ao cliente em dois incidentes separados, que juntos expuseram dados limitados de cerca de 2.000 contas, ou aproximadamente 0,02% da sua base total de utilizadores. Esses utilizadores foram notificados, acrescentou a exchange, enquanto as pessoas envolvidas tiveram as suas credenciais revogadas e foram cortadas das ferramentas internas à medida que a Kraken reforça os controlos de monitorização e acesso.

O diretor de segurança Nick Percoco, que anteriormente classificou uma exploração separada de 3 milhões de dólares dos sistemas da Kraken como "não é hacking de chapéu branco, é extorsão", afirmou que a empresa está novamente a tratar as novas ameaças como uma questão criminal e está a cooperar com as autoridades policiais. Disse aos jornalistas que a Kraken acredita ter provas suficientes "para identificar e ajudar a prender" os responsáveis pela última tentativa de extorsão e reiterou que a plataforma não negociará com atores que tentam monetizar o acesso interno.

De acordo com a descrição da empresa, o ataque reflete um padrão crescente de "infiltração interna + engenharia social", no qual terceiros trabalham para comprometer ou recrutar pessoas dentro de organizações de serviços, a fim de obter acesso apenas de leitura, imagens de reconhecimento ou dados limitados de clientes, em vez de atacar diretamente sistemas de carteiras reforçados. No início deste ano, uma listagem na dark web que alegava acesso de 1 dólar ao painel de suporte interno da Kraken e dados KYC gerou preocupações semelhantes, embora a exchange não tenha confirmado uma violação e investigadores de segurança tenham alertado que mesmo o acesso apenas de leitura a ferramentas de suporte poderia ser usado como arma para phishing e burlas direcionadas.

A nova tentativa de extorsão surge após um incidente separado em março, no qual um utilizador da Kraken alegadamente perdeu cerca de 7.784 ETH e 26,5 BTC — no valor de aproximadamente 18,2 milhões de dólares — num esquema sofisticado de engenharia social antes de os fundos serem transferidos para a HitBTC, sublinhando o espetro de ameaças enfrentadas tanto pelas plataformas como pelos clientes. Como a empresa de análise blockchain EmberCN e outras notaram, mesmo quando os tesouros da exchange e as hot wallets permanecem não comprometidos, falhas nos controlos humanos — desde o acesso ao apoio ao cliente até à segurança operacional do utilizador — ainda podem traduzir-se em grandes perdas e danos reputacionais.

Para a Kraken, o último caso é um teste de stress à sua cultura de segurança há muito promovida, que inclui autenticação de dois fatores (2FA) obrigatória, suporte de chave de hardware e mensagens públicas regulares de Percoco sobre as melhores práticas de proteção de conta. Para a indústria em geral, é outro lembrete de que num mercado onde uma única credencial comprometida pode colocar milhões de dólares à frente dos atacantes, os maiores riscos situam-se frequentemente na interseção do acesso interno, erro humano e extorsão tradicional — não apenas em código de dia zero.