Vazamento da Coinbase: por que seus dados KYC são o alvo
Pontos principais
- •Contratados de suporte subornados copiaram nomes, endereços, SSNs parciais e fotos de documentos de 69.461 clientes da Coinbase entre dezembro de 2024 e maio de 2025 — sem invadir nada, só com acesso interno.
- •A Coinbase recusou uma extorsão de US$ 20 milhões e estimou custos de US$ 180–400 milhões, mas os dados roubados alimentaram golpes de engenharia social e uma onda recorde de ataques físicos.
- •O caso prova que bancos de dados KYC são honeypots: toda exchange é obrigada a coletar e reter esses dados — e dados que você nunca entrega não podem vazar.
O vazamento de dados da Coinbase, revelado em 11 de maio de 2025, expôs nomes, endereços residenciais, números parciais de Seguro Social, dados bancários mascarados e fotos de documentos de identidade de 69.461 clientes. Contratados de suporte subornados copiavam dados KYC desde cerca de 26 de dezembro de 2024. Nenhuma senha, chave ou fundo foi levado — o prêmio era a identidade.
A LeoDex não tem afiliação com a Coinbase. Este é conteúdo educativo independente. Se acredita que seus dados foram afetados, consulte os avisos oficiais em help.coinbase.com.
O que aconteceu no vazamento da Coinbase?
Criminosos subornaram contratados de atendimento no exterior para copiar dados de clientes das ferramentas internas às quais tinham acesso legítimo. O roubo durou de ~26 de dezembro de 2024 até a Coinbase receber um e-mail de extorsão de US$ 20 milhões em 11 de maio de 2025. A empresa recusou, divulgou o incidente e protocolou um Formulário 8-K na SEC em 14 de maio de 2025. Uma notificação ao procurador-geral do Maine apontou 69.461 clientes afetados. Em vez de pagar, a Coinbase ofereceu US$ 20 milhões de recompensa pela captura dos criminosos — e estimou custos de remediação de US$ 180 a 400 milhões, entre reembolsos, reforço de segurança e um novo centro de suporte nos EUA.
Quais dados foram roubados?
Um kit de identidade quase completo: nome, endereço, telefone, e-mail, últimos 4 dígitos do SSN, contas bancárias mascaradas, imagens de documentos oficiais (CNH, passaporte), além de saldos e histórico de transações. Senhas, chaves privadas, códigos 2FA e fundos não foram comprometidos. Repare na assimetria: uma senha roubada se troca em um minuto; um passaporte escaneado junto do seu endereço e do seu saldo fica comprometido para sempre — e é exatamente isso que as regras KYC obrigam as exchanges a guardar.
O vazamento causou ataques no mundo real?
Sim. 2025 foi ano recorde dos chamados "wrench attacks" — violência física no lugar de hacking. A TRM Labs contou cerca de 60 ataques físicos reportados contra holders em 2025 (o registro de Jameson Lopp aponta ~70, contra 41 em 2024), com sequestros subindo 66% e mais de US$ 40,9 milhões roubados sob coerção, segundo a CertiK. Analistas ligaram a onda diretamente aos vazamentos de dados KYC: quando o criminoso sabe seu nome, seu endereço e seu saldo aproximado, o ataque sai do digital. Golpistas também passaram a ligar se passando pela "segurança da Coinbase", com dados reais, convencendo vítimas a mover fundos para "carteiras seguras". A Coinbase se comprometeu a reembolsar clientes de varejo enganados por esses golpes. Se sua conta foi travada na onda antifraude que se seguiu, veja o guia de restrição de conta na Coinbase.
KYC é seguro? Como não criar outro honeypot
Toda exchange regulada precisa coletar documentos, endereços e identificadores fiscais, retê-los por anos e expô-los a milhares de funcionários e contratados. Isso é um honeypot por construção — e o caso Coinbase provou: as carteiras resistiram, e os clientes se machucaram mesmo assim, porque o arquivo de identidade exigido pela regulação vazou via suborno. Se trocar cripto sem KYC é legal depende de onde você mora — cobrimos isso em swap sem KYC é legal? (resumo: para usuários, na maioria das jurisdições, sim).
O único dado que nunca pode vazar é o que você nunca entrega. A LeoDex é um agregador de swaps sem custódia: sem conta, sem e-mail, sem KYC — não existe banco de identidades porque nada é coletado. Compara 8+ rotas por operação (THORChain, Chainflip, MAYAChain, NEAR Intents) em 40+ blockchains, incluindo Bitcoin nativo, e suas chaves nunca saem da carteira. Comece tirando seus fundos da exchange e troque pelo fluxo de swap sem KYC. Swaps cripto-a-cripto continuam tributáveis na maioria das jurisdições. Dados que você nunca entrega não podem vazar.
Perguntas frequentes
O que aconteceu no vazamento de dados da Coinbase?
Criminosos subornaram contratados de suporte no exterior para copiar dados de clientes desde ~26 de dezembro de 2024. A Coinbase recebeu uma extorsão de US$ 20 milhões em 11 de maio de 2025, recusou pagar e protocolou um 8-K na SEC em 14 de maio. Foram 69.461 clientes afetados.
Quais dados foram roubados?
Nomes, endereços, telefones, e-mails, últimos 4 dígitos do SSN, dados bancários mascarados, imagens de documentos oficiais, saldos e histórico de transações. Senhas, chaves privadas, 2FA e fundos não foram comprometidos.
A Coinbase pagou o resgate?
Não. Recusou os US$ 20 milhões e ofereceu o mesmo valor como recompensa pela captura dos atacantes. Também se comprometeu a reembolsar clientes de varejo enganados pelos golpes decorrentes do vazamento, com custo total estimado em US$ 180–400 milhões.
KYC é seguro depois disso?
O caso mostrou o risco estrutural: exchanges precisam reter documentos, endereços e identificadores fiscais, expostos a milhares de funcionários e contratados. Os fundos da Coinbase não foram tocados — o que vazou foi o arquivo de identidade exigido pela regulação, e um passaporte escaneado não pode ser trocado como uma senha.
Dá para trocar cripto sem entregar documentos?
Sim. Protocolos sem custódia como THORChain, Chainflip, MAYAChain e NEAR Intents executam swaps on-chain da sua própria carteira, sem conta nem coleta de identidade. A LeoDex os agrega em 40+ blockchains sem cadastro, e-mail ou KYC. Os swaps continuam tributáveis — a diferença é que não existe banco de dados para vazar.