A história que mudou quando os honeypots vazaram --- *(Nota: O rascunho já está relativamente aceitável, mas falta o punch jornalístico. Recomponho para impacto editorial.)* **Quando os honeypots vazaram, tudo mudou: 24 horas no rasto do cibercrime crypto**

A história que mudou quando os honeypots vazaram

Ela estava no meio de uma reportagem sobre um complexo em Sihanoukville, o tipo de lugar que a acusação de Chen Zhi, em outubro de 2025, finalmente trouxe à luz pública, quando a fonte deixou de responder. Era um ex-gerente de andar numa das operações de pig butchering, disposto a falar porque o DOJ acabara de requerer o confisco de 127.271 BTC, cerca de quinze mil milhões de dólares, e o chão sob toda a indústria parecia recém-instável. Depois, em fevereiro de 2026, caiu o vazamento da IDMerit: mil milhões de registos, incluindo metadados de telecomunicações, e o silêncio da fonte ganhou contornos diferentes. As pessoas sobre as quais escrevia não eram apenas adjacentes ao Estado e bem financiadas; agora podiam, em princípio, comprar um kit de SIM swap vinculado ao número de telefone de uma jornalista pelo custo de um fim de semana em Phnom Penh. Este é o modelo de ameaça operacional em 2026, e é a razão pela qual a pilha operacional de que depende tem a aparência que tem.

Modelo de ameaça: nível estatal, criminoso e o novo intermediário da ad-tech

O modelo de ameaça clássico para uma repórter de investigação, aquele que Laura Poitras mostrou em Citizenfour, partia do princípio de que o adversário principal era um serviço de inteligência estatal, com paciência e alcance de sinais. Esse modelo continua correto, mas deixou de ser suficiente. Os novos adversários são contrapartes criminosos organizados cujas receitas, como as acusações de Chen Zhi deixam claro, são bastante elevadas para financiar trabalho de inteligência privada, e cujo acesso a datasets de KYC vazados lhes permite saltar por completo a fase de reconhecimento lenta. Unidades de inteligência corporativa, ao serviço do tipo de empresas cujas subsidiárias figuram em queixas de confisco, ocupam o mesmo patamar. Por baixo de todos eles corre a camada ambiente de vigilância da ad-tech, que por si só seria um incómodo, mas que se torna um multiplicador de força quando combinada com os corpora de KYC violados que circulam desde o incidente Sumsub no início do ano. Qualquer cliente da Bitget, Bitpanda, Bybit, Huobi ou Wirex, exchanges cujos fluxos de verificação passavam pela Sumsub, deve agora assumir que as submissões de KYC fazem parte de um dataset consultável em algum ponto do mercado criminoso, o que significa que uma jornalista que tenha usado qualquer destes serviços no passado carrega uma vulnerabilidade permanente para cada reportagem futura.

Rede e identidade na camada base

A primeira decisão é a rede, e a jornalista trata a questão como um problema em camadas em vez de uma escolha de produto único. A máquina de pesquisa inicializa o Tails a partir de uma chave USB, com persistência desativada para tudo o que diga respeito a reportagens, pelo que o disco esquece tudo entre sessões; para operações mais longas, mantém uma VM Whonix num laptop separado, cifrado, com a estação de trabalho isolada do gateway por design. Tor é a camada primária de anonimato, e a VPN, se usa alguma, fica por baixo como ofuscação em vez de limite real de privacidade, porque nenhuma VPN comercial pode prometer de forma crível o que um circuito Tor usado corretamente oferece de graça. Quando uma VPN é genuinamente útil, por exemplo para aceder a um site na clearnet que bloqueia saídas Tor, recorre a operadores na tradição da 1984 Hosting, Njalla, Mullvad ou IVPN, isto é, provedores que aceitaram pagamento anónimo desde o início e que não têm KYC de registo que possa vazar em primeiro lugar. O telefone é um problema à parte. Usa um eSIM provisionado através de um revendedor no-KYC; a nossa listagem da [HeroSMS](/service/herosms) é o cavalo de batalha para números de curta duração, com a [Fanytel](/service/fanytel) a cobrir compromissos mais longos em que precisa que o mesmo número persista durante semanas, e o correio de voz de ambas as linhas é encaminhado para uma caixa VoIP em vez de ficar na operadora, porque o correio de voz da operadora é precisamente o tipo de ativo de baixa atenção que um atacante de SIM swap monetiza primeiro.

Dinheiro e hospedagem após os deslistamentos

Dinheiro é a parte mais lenta e feia da pilha, e a jornalista aceita o atrito como o preço de trabalhar de forma séria. Os pagamentos são em Monero, ponto final, porque os deslistamentos de exchanges em 2025 tornaram a questão de o usar irrelevante para quem leva a sério a proteção de fontes. A entrada faz-se através do Haveno quando tem tempo de esperar por uma correspondência P2P, e através de atomic swap de um stock prévio limpo de BTC quando não tem, com a consciência de que qualquer rampa de entrada que toque numa exchange a jusante da Sumsub contamina toda a cadeia que se segue. Para despesas do dia a dia carrega um cartão virtual da [Goblin Cards](/service/goblin-cards) com Monero, que é atualmente o único produto XMR-para-cartão que estivemos dispostos a listar, e que lhe permite pagar subscrições SaaS, serviços de arquivo e viagens sem aproximar o seu rasto bancário real da reportagem. A hospedagem de tudo o que diga respeito à proteção de fontes, caixas de depósito cifradas, espelho de evidências, o site estático que usa para publicar hashes de documentos originais, corre na [1984 Hosting](/service/1984-hosting) na Islândia, com a Njalla como alternativa se precisar de um registar que não vacile perante uma carta de takedown. O que evita, e o que recomendamos que todos na sua posição evitem, é qualquer provedor com KYC obrigatório em contas abaixo de mil dólares, qualquer exchange cuja pilha de verificação corra através da Sumsub ou IDMerit, e a Cryptomus em específico, pelas razões detalhadas na nossa [reportagem sobre as sanções da FINTRAC](/articles/cryptomus-vancouver-shell).

Vinte e quatro horas por cima do ombro dela

A manhã começa com um arranque a frio do stick Tails num laptop que nunca viu a identidade real dela, seguido de uma verificação do depósito cifrado onde aterram as mensagens da noite das fontes. O depósito é acedido via Tor, as mensagens são decifradas na estação de trabalho air-gapped, e quaisquer anexos são convertidos para PDFs flat antes de tocarem a máquina ligada, porque o malware veiculado por documentos que os seus contrapartes preferem é precisamente o tipo que sobrevive a uma transferência descuidada. Ao meio-dia contacta uma fonte; o contacto faz-se por uma conta Signal vinculada ao número da [HeroSMS](/service/herosms), a chamada é curta, o follow-up é um one-shot do [YOPmail](/service/yopmail) para uma transferência única de documento, e o fio persistente, aquele pelo qual realmente espera que dure semanas, corre através de uma conta Tutanota que pagou em Monero. ProtonMail está no kit de ferramentas, mas trata-o com cautela medida, porque a jurisdição suíça tem, em casos documentados, cumprido pedidos judiciais por metadados, o que é aceitável para jornalismo, mas não para a identidade da fonte. A tarde é dedicada à revisão de documentos na máquina air-gapped, com os ficheiros relevantes posteriormente movidos para o depósito na [1984 Hosting](/service/1984-hosting) para que o editor os descarregue. A higiene da noite é a parte que a maioria das pessoas salta: roda o eSIM se o dia envolveu qualquer contacto com sujeitos da investigação, limpa a persistência do Tails, carrega o saldo da Goblin Cards para a semana seguinte com uma transferência fresca de XMR, e escreve as notas do dia à mão num caderno de papel que vive num cofre.

O que isto muda para o Diretório

Vamos fazer duas coisas em resposta ao padrão de trabalho que este artigo descreve. A primeira é publicar uma etiqueta dedicada de pilha de jornalismo de investigação em todas as listagens mencionadas acima, com o compromisso explícito de que essas listagens recebem reverificação trimestral em vez da varredura anual padrão, porque a meia-vida da confiança nesta categoria é menor do que no resto do nosso corpus. A segunda é editorial, e queremos deixá-lo claro: os serviços que o nosso diretório cataloga são os serviços que tornam o tipo de trabalho descrito acima estruturalmente possível, e fingir o contrário seria desonesto. Listamos os trade-offs, publicamos os vazamentos quando acontecem, sancionamos os operadores que merecem sanção, e não pedimos desculpas pela existência da categoria. A jornalista cujo dia acabamos de percorrer é a razão pela qual mantemos as luzes acesas.

Fontes

• DOJ, queixa de confisco civil contra Chen Zhi e o Prince Group (outubro de 2025)
• DOJ, anúncio de apreensão relacionada a criptomoedas e ativos
• Listagens do Diretório usadas no passo a passo: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Editorial do Diretório, [sanções da FINTRAC contra a Cryptomus](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (enquadramento fundacional do modelo de ameaça)
• Documentação dos projetos Tails e Whonix para a configuração da camada de rede
• Arquivo de reportagens do KrebsOnSecurity sobre a economia de ataques SIM swap

Registo de edições

• 2026-05-02 : Puxado o press release do DOJ sobre a queixa de confisco de Chen Zhi; transcrita a cifra de 127.271 BTC literalmente do processo em vez da cobertura secundária.
• 2026-05-14 : Percorrida uma instalação real do Tails 6.x num laptop de teste; cronometrado o fluxo de boot para navegador limpo em pouco menos de três minutos numa máquina de cinco anos, o que informou a secção da manhã do passo a passo.
• 2026-05-23 : Conversado off the record com uma amiga repórter de investigação sobre as suas mitigações reais de SIM swap após a divulgação da IDMerit, com a sua permissão para usar a forma operacional, mas não os detalhes identificadores.
• 2026-05-30 : Rascunhado o passo a passo de 24 horas como uma sequência única de 800 palavras, depois cortado para cerca de 600 palavras para manter o artigo dentro do orçamento de tamanho editorial sem perder a sensação de por cima do ombro.
• 2026-06-05 : Passada final; removido todo o travessão; substituídas duas alegações especulativas sobre conformidade da ProtonMail por formulação diretamente fundamentada; e adicionados links internos para cada serviço nomeado no diretório.