Vazamento de dados de Coinmama

As categorias de dados verificadas são endereços de e-mail, nomes de usuário e senhas. O campo de senha não deve ser tratado como uma senha em texto simples, mas como dados de senha armazenados no formato de hash MD5 do WordPress. Hashes baseados em MD5 são considerados fracos para a proteção moderna de senhas; senhas curtas, previsíveis ou reutilizadas podem ser descobertas por invasores. Se o mesmo e-mail e a mesma senha continuaram válidos em uma corretora de criptomoedas, carteira, caixa de entrada de e-mail, banco, serviço de pagamento ou conta de rede social, um vazamento antigo pode afetar a segurança financeira atual.

O nome de usuário e o endereço de e-mail fornecem contexto suficiente para criar mensagens falsas sobre investimentos, verificação de conta, recuperação de carteira ou suporte, direcionadas a usuários de criptomoedas. Como uma conta da Coinmama pode estar associada a depósitos de dinheiro ou à compra de criptomoedas, os invasores podem supor que o alvo talvez possua ativos digitais. Números de telefone, endereços físicos, cartões de pagamento, documentos oficiais de identificação, endereços de carteira, históricos de transações ou dados de saldo não estão entre as categorias verificadas nos dados da Coinmama. A extrapolação dos riscos deve se limitar aos campos comprovados.

Para o incidente da Coinmama, o escopo no LeakData deve ser mantido em 478.824 contas de e-mail únicas. A data do incidente deve ser registrada como 3 de agosto de 2017, e a data de inclusão na lista de incidentes verificados, como 30 de agosto de 2019. Embora os comunicados de fevereiro de 2019 mencionassem cerca de 450.000 e-mails e registros de senhas em formato de hash, o número confirmado de contas principais permanece em 478.824. Essa diferença pode decorrer de duplicatas, do processo de verificação e da contagem de contas de e-mail únicas; o valor apresentado ao usuário deve ser consistente com o escopo de contas únicas.

O escopo se limita aos dados de contas da Coinmama. A presença de outras marcas em uma onda mais ampla de venda de dados não justifica acrescentar a este registro categorias de dados de outras plataformas. Informações de cartões de pagamento, contas bancárias, documentos de identificação, endereços, telefones, chaves privadas de carteiras de criptomoedas, listas de transações ou saldos não devem ser incluídas entre os campos comprovados deste incidente. Esse limite evita pânico desnecessário devido ao contexto das criptomoedas e direciona o usuário aos riscos reais, como reutilização de senhas, tomada de controle de contas e phishing direcionado.

O maior risco recai sobre quem reutiliza a senha da conta da Coinmama em outras contas. Pessoas que usam contas de criptomoedas geralmente mantêm a mesma identidade em sua conta de e-mail, conta na corretora, aplicativo de carteira, meio de pagamento e conta de rede social. A combinação de e-mail e nome de usuário permite que invasores criem uma lista de contas. Se conseguirem descobrir a senha a partir do hash, poderão testá-la em diferentes serviços e atacar o ecossistema de ativos digitais do usuário.

Investidores em criptomoedas, pessoas que já não usam suas contas antigas e usuários que abrem contas em várias corretoras com o mesmo endereço de e-mail devem ter atenção especial. Nessa situação, mesmo que a chave privada da carteira ou as informações de saldo não estejam entre os dados verificados, os invasores podem identificar a pessoa como usuária de criptomoedas. Mensagens falsas de atendimento ao cliente, verificação urgente de conta, aviso de saque, notificação tributária ou recuperação de carteira podem parecer mais convincentes nesse contexto. Uma correspondência positiva ainda exige medidas de segurança, mesmo que a conta antiga já tenha sido encerrada.

Se o seu endereço de e-mail estiver na base de dados da Coinmama, primeiro certifique-se de que a senha antiga usada na sua conta da Coinmama não seja válida em nenhuma outra conta. Se você usou a mesma senha ou uma senha semelhante em contas de e-mail, corretoras de criptomoedas, carteiras, serviços de pagamento, bancos, redes sociais ou trabalho, defina uma senha exclusiva, longa e difícil de adivinhar para cada conta. Usar um gerenciador de senhas reduz o risco de reutilização. Manter o padrão da senha antiga com pequenas alterações não deve ser considerado seguro.

Ative a autenticação de dois fatores na conta de e-mail e em todas as contas associadas a criptomoedas. Sempre que possível, dê preferência à autenticação por aplicativo ou a uma chave física de segurança. Ao receber notificações inesperadas de saque, solicitações de recuperação de carteira, oportunidades de investimento, mensagens de verificação de conta ou ligações de suporte, confira essas informações pelo aplicativo ou site oficial, sem clicar em nenhum link. Se você identificar uma sessão suspeita, encerre as sessões, revise os endereços de e-mail de recuperação e substitua completamente as senhas reutilizadas.

O vazamento da Coinmama mostra que as informações de identidade usadas em contas de criptomoedas ainda podem representar um risco elevado, mesmo anos depois. Evite reutilizar senhas em contas de criptomoedas, e-mail, bancos, serviços de pagamento e redes sociais. Revise regularmente as contas antigas em corretoras e encerre as que não usa, ou mantenha-as isoladas com senhas exclusivas e proteção multifator robusta. Como os endereços de e-mail e os nomes de usuário permanecem os mesmos por longos períodos, os dados de vazamentos antigos podem ser reutilizados em novas tentativas de phishing.

A principal lição para os prestadores de serviços é proteger os hashes de senha com métodos modernos de armazenamento de senhas que tenham alto custo computacional, concluir as notificações aos usuários sem demora e indicar claramente quais campos de dados não foram afetados. No contexto das criptomoedas, campos como dados de pagamento, identidade e carteira são muito sensíveis, portanto campos não verificados não devem ser incluídos no escopo do incidente. A comunicação de riscos da Coinmama deve continuar focada na segurança da conta, considerando o e-mail, o nome de usuário e os hashes de senha MD5 do WordPress.

A consulta ao registro do vazamento da Coinmama indica se o endereço de e-mail informado foi encontrado neste conjunto de dados verificado. Se o resultado for positivo, o endereço de e-mail, o nome de usuário e o hash da senha devem ser considerados em risco. Se o resultado for negativo, isso indica apenas que nenhuma correspondência foi encontrada neste conjunto de dados específico; não prova que a pessoa não tenha vínculo com outras plataformas de criptomoedas ou que seus dados não estejam em outros vazamentos. Manter as datas corretas é importante para não confundir a data do incidente com a data de inclusão na lista de incidentes verificados.

A ação correta é abandonar completamente a senha antiga, alterar todas as senhas reutilizadas, proteger a conta de e-mail com autenticação multifator robusta e ter cautela com mensagens falsas de suporte ou investimento relacionadas a criptomoedas. Você também deve verificar as contas em corretoras, carteiras, serviços de pagamento e redes sociais abertas com o mesmo e-mail e nome de usuário. Essas medidas reduzem o risco de que um vazamento de dados de 2017 resulte, hoje, na tomada de controle de contas financeiras ou em phishing direcionado.