A Kraken está sendo extorquida, e o ataque veio de dentro

Nick Percoco, Chief Security Officer da Kraken, publicado um comunicado detalhando dois incidentes de acesso indevido a sistemas internos da exchange e uma tentativa de extorsão em curso.

A mensagem dele é: a Kraken não vai pagar, não vai negociar e já está trabalhando com autoridades federais em múltiplas jurisdições para identificar e prender os envolvidos.

O resumo do caso: um grupo criminoso ameaça divulgar vídeos que mostram acesso a sistemas de suporte ao cliente da Kraken — com dados de clientes visíveis — caso a exchange não cumpra suas exigências.

A Kraken afirma que os sistemas nunca foram comprometidos em sentido técnico, que fundos nunca estiveram em risco e admite que aproximadamente 2.000 contas de clientes (0,02% da base) foram potencialmente visualizadas nos dois incidentes combinados.

Os incidentes

O primeiro incidente ocorreu em fevereiro de 2025. A Kraken recebeu uma denúncia de uma fonte confiável sobre um vídeo circulando em fórum criminoso que aparentava mostrar acesso aos sistemas internos de suporte.

A investigação identificou rapidamente o responsável: um membro da própria equipe de suporte. O acesso foi revogado imediatamente, uma investigação completa foi conduzida, controles adicionais foram implementados e um número limitado de clientes afetados foi notificado.

O segundo incidente ocorreu mais recentemente. Outro vídeo com atividade similar chegou ao conhecimento da Kraken por meio de nova denúncia. O indivíduo envolvido foi identificado e seu acesso foi encerrado com a mesma agilidade.

Logo após o encerramento do acesso, começaram as demandas de extorsão — ameaças de distribuir o material de ambos os incidentes para veículos de imprensa e nas redes sociais.

O padrão dos dois casos é idêntico: recrutamento de insiders com acesso a sistemas de suporte, captura de dados de clientes, e tentativa de monetizar o acesso via extorsão.

O vetor que mais preocupa o setor

Percoco destacou que desde o primeiro incidente a Kraken vem colaborando com parceiros da indústria e agências de segurança para investigar e interromper esforços de recrutamento de insiders — não apenas em empresas de cripto, mas também em empresas de jogos e telecomunicações.

Esse detalhe é o mais relevante do comunicado do ponto de vista sistêmico. O ataque não explorou vulnerabilidade técnica nos sistemas da Kraken. Explorou o elo mais difícil de proteger em qualquer organização: a pessoa com acesso legítimo. Funcionários de suporte, por natureza, precisam de acesso a dados de clientes para realizar seu trabalho. Esse acesso é o produto que grupos criminosos tentam comprar ou coagir.

O modelo é conhecido no setor de segurança como “insider threat” — ameaça interna — e tem se tornado mais sofisticado. Grupos criminosos identificam funcionários em posições de acesso, os abordam com ofertas financeiras ou ameaças, e usam o acesso obtido tanto para extração de dados quanto para extorsão posterior da própria empresa.

O fato de o mesmo padrão estar sendo aplicado a empresas de telecom e gaming indica uma operação coordenada e profissional.

O que aprender com isso

O comunicado é deliberadamente limitado em detalhes, o que é esperado em investigação ativa com múltiplas jurisdições envolvidas. Percoco afirma haver evidências suficientes para identificação e prisão dos responsáveis, o que sugere que a inteligência coletada nos dois incidentes — combinada com análise forense — produziu pistas concretas sobre os operadores do esquema.

Para clientes da Kraken: quem foi afetado já foi notificado. Quem não recebeu notificação não está entre os 2.000.

Para o indivíduo soberano, fica o lembrete de que serviços que exigem KYC (medidas de “conhecer o cliente” através de fotos e documentações sensíveis) são perigosos por padrão. O mero acesso dos funcionários à sua documentação, endereço e dados financeiros é problemático.

A postura da Kraken de não pagar e acionar autoridades é a resposta correta. Ceder a extorsões cria incentivo para novos ataques — inclusive contra a própria organização. O comunicado público também tem função estratégica: remove o elemento surpresa do grupo criminoso, que perdia poder de negociação ao ameaçar divulgar algo que a própria empresa já tornou público.