O compliance virou porta de entrada para ataques

O regime de compliance tornou-se a superfície de ataque

Em 2026, o caminho regulado, auditado e totalmente licenciado pelo qual um utilizador de cripto prova que é uma pessoa produz, agora de forma rotineira, conjuntos de dados que o mercado criminoso não conseguiria montar por conta própria, a qualquer preço, por meio de phishing ou recrutamento interno, por mais sofisticados que fossem. Este é o facto estrutural em torno do qual se constrói este ensaio. O aparato de Know Your Customer, vendido a legisladores e ao público como um regime de prevenção à fraude, tornou-se, na sua arquitetura actual, o maior contribuidor individual para o stock de roubo de identidade na história da internet de consumo. A razão não reside na malícia de qualquer fornecedor específico, mas na simples geometria da concentração: um pequeno número de provedores especializados está, neste momento, à frente dos registos de identidade verificada de uma fracção enorme dos utilizadores de cripto em todo o mundo; quando qualquer um deles é violado, a perda mede-se em centenas de milhões de registos de uma só vez. O argumento aqui não é que as regras anti-lavagem de dinheiro estejam erradas em princípio. O argumento é que a forma institucional específica que essas regras assumiram, aquela que canaliza cada fluxo de onboarding por meio de um punhado de fornecedores, produziu um ponto único de falha previsível, previsto e, agora, concretizado. 2026 é o ano em que a factura chegou.

Cinco incidentes, por ordem

• Cryptomus, 16 de outubro de 2025. A FINTRAC, o regulador de inteligência financeira canadiano, aplicou uma penalidade de $176 milhões à Xeltox Enterprises, operadora do processador de pagamentos Cryptomus, pelo que o Krebs on Security reportou como uma falha abrangente no arquivo de relatórios de actividade suspeita em transações que investigadores tinham repetidamente ligado a afiliados de ransomware e mercados de credenciais roubadas. O vector aqui não é uma violação de dados no sentido técnico. É o oposto: um ponto de estrangulamento regulado que falhou em estrangular qualquer coisa. O mesmo problema estrutural, com sintoma inverso. Cobrimos a multa em detalhe na [nossa peça sobre a Cryptomus](/articles/cryptomus-vancouver-shell).
• Sumsub, início de 2026. O fornecedor de compliance cuja lista de clientes reportadamente inclui Bitget, Bitpanda, Bybit, Huobi e Wirex foi alvo de uma divulgação de violação que, conforme as estimativas da base de utilizadores de cada exchange em que se confie, afectou os registos de identidade verificada de algo entre quinze e quarenta milhões de traders. O dano é difícil de quantificar com precisão porque cada exchange a jusante tem incentivos para minimizar, e a própria Sumsub tem incentivos para restringir o âmbito, mas o facto central é que um único comprometimento de fornecedor se propagou em cascata por cinco grandes venues de uma só vez.
• IDMerit, divulgado a 18 de fevereiro de 2026. Um mil milhões de registos, vinte e seis países, nomes legais completos cruzados com números de identidade nacional, metadados de telecomunicações e os logs de decisão AML que registam por que cada cliente foi aprovado ou sinalizado. O relatório de incidente da Bright Defense e o acompanhamento do Cybernews estabeleceram que o corpus exposto incluía não apenas as entradas de identificação pessoal, mas as pontuações AML estruturadas das quais instituições a jusante tinham dependido, o que significa que o vazamento é duplamente weaponizável: os criminosos obtêm a identidade e obtêm também a resposta de compliance que essa identidade produzirá. A nossa [análise aprofundada da IDMerit](/articles/idmerit-billion-kyc-sim-swap) percorre o esquema dos registos.
• Suposto vazamento administrativo da Kraken, março de 2026. O TorNews reportou que um vendedor na dark web estava a oferecer acesso administrativo só de leitura a perfis de utilizadores, histórico completo de transacções, ficheiros de tickets de suporte e documentos KYC enviados de uma exchange major identificada no anúncio como Kraken. A exchange não confirmou o relatório e nós tratamo-lo como alegado. Incluímo-lo aqui porque, confirmado ou não, o anúncio é consistente com o padrão: o produto de mercado criminoso de maior valor em 2026 já não são dumps de cartões de crédito, mas sim pacotes de identidade verificada de nível exchange.
• Bug de consenso do Orchard da Zcash, 29 de maio de 2026. Um domínio diferente, um modo de falha diferente, e, possivelmente, um ensaio diferente, mas a lição rima. O pool Orchard, uma primitiva de privacidade da qual depende uma fracção não trivial da economia de privacy coins, foi lançado com um bug que sobreviveu a múltiplas auditorias porque a população de criptógrafos qualificados para rever código de circuito zk-SNARK é reduzida e o mercado de auditoria para essa população é estreito. Primitivas críticas que dependem de um pequeno número de olhos qualificados falham da mesma forma estrutural que a infraestrutura crítica de compliance, dependente de um pequeno número de fornecedores qualificados, falha. Discutimos o incidente Orchard na nossa [peça sobre auditoria de primitivas](/articles/zcash-orchard-4-years-undetected).

Por que a especialização compõe o risco

A defesa padrão da arquitectura actual é a seguinte: fornecedores especializados fazem compliance melhor do que cada exchange poderia fazer internamente, pelo que consolidar o onboarding por meio de especialistas melhora a qualidade média do resultado. Isso é, no sentido técnico restrito de taxas de falso-positivo e latência de decisão, provavelmente verdade. Também é irrelevante para a questão que realmente importa, que é o risco de cauda de um único comprometimento de fornecedor. A especialização melhora a média e degrada a cauda simultaneamente, e um regulador que olhe apenas para a qualidade média de compliance recompensará exactamente a consolidação que produz os piores resultados de cauda. A actualização de 2025 da FATF sobre provedores de serviços de activos virtuais, na sua linguagem de orientação sobre "aplicação consistente" de due diligence do cliente, recomenda activamente o tipo de padronização liderada por fornecedores que produz essa concentração. A MiCA na União Europeia, o Regulamento de Transferência de Fundos e o GENIUS Act nos Estados Unidos empurram, por design e por estrutura de isenção, em direcção a um pequeno número de contrapartes de compliance aprovados. O regime não está acidentalmente centralizado. Está centralizado porque o caminho mais barato para compliance regulatória demonstrável é terceirizar para um fornecedor que o regulador já implicitamente abençoou.

O registo histórico já estava na parede

O repositório etheralpha/kycisbad mantém, desde 2019, um livro-razão público de vazamentos e violações relacionados com KYC. As entradas pré-2025 sozinhas documentam bem mais de uma dúzia de incidentes em exchanges, custodiantes e fornecedores dedicados de identidade, desde o vazamento de e-mails da BitMEX em 2019, passando pela lista de credores da Celsius em 2022 e o incidente de fornecedor de suporte da Gemini em 2024. O padrão visível ao longo desses anos não é que algum provedor tenha sido singularmente descuidado. É que a superfície de ataque definida por "lugares onde um registo de identidade verificada está em repouso" cresce monotonicamente a cada trimestre, e a probabilidade de que nenhum desses lugares seja comprometido em qualquer janela de doze meses é, agora, efectivamente zero. Os incidentes de 2026 não são uma categoria nova de falha. São a continuação prevista de uma tendência de múltiplos anos que a arquitectura regulatória tem piorado constantemente.

O que o teatro de compliance realmente custa

Faça a contabilidade honestamente. O corpus da IDMerit sozinho, precificado à taxa dark-web vigente para registos de identidade verificada com metadados AML associados, vale mais no mercado criminoso do que qualquer operação única de ransomware arrecadou em todo o ano de 2025. Isto numa única violação. Contraponha a essa perda o benefício marginal AML, medido como o volume incremental de fundos ilícitos detectados na camada de fornecedor KYC em vez da camada de monitoramento de transacções da exchange, e a troca parece, em números claros, catastrófica. O enquadramento honesto é que o regime impõe um aumento quase certo de roubo de identidade em escala industrial à base de utilizadores, em troca de uma melhoria marginal no sinal AML que as mesmas exchanges poderiam ter produzido a partir de análise on-chain, sem jamais montar o corpus de identidade off-chain.

O que isso muda para o Diretório

Estamos a tomar três medidas editoriais em resposta. Primeiro, vamos publicar, como um projecto contínuo, o mapa de listagem de fornecedor-KYC-por-exchange, para que um utilizador a avaliar uma exchange possa ver qual fornecedor de compliance acabará por deter os seus documentos e possa tomar a decisão de risco óbvia por si próprio. Segundo, estamos a elevar no nosso sistema de ranking aqueles venues que roteiam identidade por meio de chaves detidas pelo utilizador, esquemas de proof-of-personhood ou atestações de conhecimento zero, nos fundamentos explícitos de que descentralizar a camada de armazenamento de identidade é agora uma propriedade de segurança de primeira ordem e não uma preferência criptográfica de nicho. Terceiro, e esta é a posição editorial que o Diretório manterá em impressão até que a evidência mude, argumentamos que a resposta política não é o abandono das obrigações AML, mas o desmantelamento da arquitectura centralizada de fornecedores que essas obrigações produziram. A pergunta do regulador deve deixar de ser "a exchange verificou o utilizador" e passar a ser "a exchange verificou o utilizador sem produzir uma cópia da identidade do utilizador que um atacante possa roubar". Estas são perguntas diferentes, e apenas uma delas tem uma resposta defensável em 2026.

Fontes

• Krebs on Security, Canada Fines Cybercrime-Friendly Cryptomus $176M (outubro de 2025)
• Cybernews, Global data leak exposes billion records (fevereiro de 2026)
• Bright Defense, IDMerit data breach analysis
• TorNews, Kraken admin internal access leaked on dark web
• etheralpha/kycisbad, historical record of KYC leaks
• FATF, Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs, revisão de 2025.
• NoKYC Directory, [Sanções da FINTRAC à Cryptomus](/articles/cryptomus-vancouver-shell)
• NoKYC Directory, [IDMerit: um mil milhões de registos e o que eles realmente continham](/articles/idmerit-billion-kyc-sim-swap)

Log de edições

• 2026-04-22 : Descarregado o repositório etheralpha/kycisbad, anotações tomadas sobre os incidentes pré-2025 para estabelecer o padrão longo.
• 2026-05-04 : Cruzada a lista de clientes da Sumsub contra as estimativas de contagem de utilizadores da Bitget, Bybit e Huobi do CoinGecko para dimensionar o tamanho da cascata.
• 2026-05-17 : Lida a actualização de 2025 da FATF sobre provedores de serviços de activos virtuais, anotações tomadas sobre a linguagem de recomendação de centralização para a secção de mecanismo estrutural.
• 2026-05-28 : Rascunhada a secção "teatro de compliance", cortados três parágrafos que se desviaram para polémica e reescritos com fontes estritas contra os arquivamentos da IDMerit e Cryptomus.
• 2026-06-04 : Passagem final, removidos travessões em todo o texto, adicionados links internos cruzados para os artigos #2 e #3, apertado o parágrafo de veredito num compromisso editorial de três passos.