Fingindo ser estafeta para roubar 4,3 milhões de USD em criptomoedas diretamente em casa

Cenário de ataque simples mas eficaz: fingir ser estafeta de entregas, bater à porta, invadir com arma e forçar o proprietário a transferir a chave privada.

Em junho de 2024, três homens executaram exatamente este cenário num apartamento no Reino Unido e apropriaram-se de mais de 4,3 milhões de USD em cripto.

Cinco meses depois, o Tribunal de Sheffield Crown condenou Faris Ali e dois cúmplices, após a polícia Metropolitana recuperar quase todos os ativos roubados.

O caso, registado pelo investigador de blockchain ZachXBT, tornou-se um exemplo notável para a questão que a indústria cripto continua a evitar: quão rigorosa deve ser a segurança operacional (operational security) quando o valor dos ativos reside num navegador e a morada é informação pública?

Como ocorreu o assalto?

O ataque aconteceu no intervalo entre um vazamento de dados e a tomada de consciência do risco pela vítima.

Conversas recolhidas por ZachXBT mostram os suspeitos a discutir a estratégia horas antes do ataque, a partilhar fotografias do prédio da vítima, a confirmar a posição à porta e a combinar a história de disfarce. Uma das imagens mostra os três vestidos com uniformes de entregas. Minutos depois, batem à porta — a vítima, à espera de uma encomenda, abre.

O resultado foi uma transferência forçada para dois endereços Ethereum, sob ameaça de arma. A maior parte das moedas roubadas permaneceu nestas carteiras até à intervenção das autoridades.

ZachXBT seguiu os rastos através de análise on-chain e conversas vazadas no Telegram. Os chats revelaram o plano criminoso e antecedentes criminais: semanas antes do roubo, Faris Ali publicou uma foto da caução, revelando o nome verdadeiro aos amigos no Telegram.

Após o incidente, uma pessoa desconhecida registou o domínio ENS farisali.eth e enviou uma mensagem on-chain, denunciando publicamente no registo Ethereum. ZachXBT partilhou a descoberta com a vítima, que a encaminhou para as autoridades. A 10/10/2024, ZachXBT publicou a investigação detalhada e, a 18/11, o Tribunal de Sheffield Crown emitiu a sentença.

Tendência mais ampla

ZachXBT observa que o caso se insere numa tendência crescente de invasões domiciliares contra detentores de cripto na Europa Ocidental, com frequência superior a outras regiões.

Os métodos variam: SIM swap revela recovery phrase, phishing expõe saldo da carteira, engenharia social identifica a localização dos ativos, mas o denominador comum é que, ao confirmar que a vítima possui valor elevado e se sabe a morada, os atacantes optam por coerção física.

Porque é que o truque da entrega é tão eficaz

O disfarce de entrega aproveita a confiança nos sistemas de logística. Abrir a porta a um estafeta é um comportamento normal, não um erro de segurança.

O atacante sabe que a parte mais difícil de invadir uma casa é entrar sem levantar suspeitas. O uniforme e o pacote fornecem uma justificação plausível para estar à porta. Uma vez aberta, o fator surpresa é ativado.

Esta táctica é difícil de escalar porque exige presença física, deixa vestígios forenses e falha se a vítima não abrir a porta. Mas ultrapassa todas as barreiras digitais: carteiras multi-signature, hardware wallets ou cold storage são inúteis se o detentor for coagido a assinar uma transação de imediato. O ponto fraco é o humano que guarda a chave, vivendo num endereço fixo identificável através de dados vazados ou registos públicos.

Lições de proteção e custos de opsec

Este caso exige que grandes detentores de ativos repensem a gestão e divulgação do seu património.

A lição imediata é preventiva: separar ativos, eliminar dados pessoais de bases públicas, evitar partilhar saldos nas redes sociais, tratar visitas inesperadas como ameaças.

Mas estas medidas “têm custo” em conveniência, transparência e capacidade de participação na comunidade cripto sem se tornar alvo.

O problema a longo prazo é o mercado de seguros. Fornecedores de custódia( custody) tradicionais oferecem seguro e proteção física, enquanto a auto-custódia (self-custody) não, sendo esta uma das raras desvantagens. Se as invasões domiciliares se tornarem ameaça previsível, crescerá a procura por serviços de armazenamento segurados ou proteção pessoal. Ambos são caros e comprometem o controlo inerente à self-custody.

O vazamento de dados é o risco de base: exchanges centralizadas, plataformas de análise blockchain, relatórios fiscais, serviços Web3 que exigem KYC, todos armazenam informação que liga identidade a carteiras. Quando estas bases são expostas, tornam-se “listas de compras” para criminosos, cruzando saldos de carteiras com endereços públicos.

A recomendação de ZachXBT para “monitorizar a exposição de dados pessoais online” é correta, mas parte do princípio que a vítima tem ferramentas e vigilância para acompanhar fugas em tempo real — o que raramente acontece.

A capacidade de resposta também é limitada: ZachXBT é um indivíduo a trabalhar gratuitamente. As autoridades raramente têm perícia forense on-chain para seguir cripto roubada sem apoio externo. A polícia Metropolitana teve sucesso porque recebeu toda a investigação já feita.

Consequências para a self-custody

A questão mais ampla: será a self-custody ainda a escolha padrão para grandes detentores?

A indústria cripto argumentou durante uma década que o indivíduo deve controlar a private key e que a soberania patrimonial justifica o custo operacional. Este argumento faz sentido quando o risco é o colapso de uma exchange ou confisco estatal, mas enfraquece quando a ameaça é alguém de uniforme e arma com uma lista de endereços obtidos de dados vazados.

Se grandes detentores concluírem que a self-custody implica risco físico inaceitável, migrarão para plataformas institucionais seguradas, trocando descentralização por segurança. Se mantiverem self-custody mas investirem fortemente em privacidade e segurança, o cripto tornará-se uma cultura underground para ricos e paranoicos.

O caso do Tribunal de Sheffield Crown encerra um capítulo: o atacante foi preso, a vítima recuperou os ativos, ZachXBT ganhou mais um estudo de caso. Mas a fraqueza sistémica persiste: enquanto grandes ativos puderem ser coagidos em menos de uma hora e dados vazados continuarem a ligar saldos a moradas, nenhuma criptografia protege o detentor da chave.

Thạch Sanh