O fundador da Binance, Changpeng Zhao, alertou que a inteligência artificial pode prejudicar usuários de Bitcoin por meio de vazamento de dados pessoais e engenharia social, sem quebrar a criptografia da criptomoeda, de acordo com publicações do CoinMarketCap e do Bitcoin Archive.
Resumo
- CZ alertou que dados pessoais vazados podem permitir phishing com IA sem quebrar a criptografia do Bitcoin.
- A orientação da OWASP compara algoritmos e tamanhos de chave específicos, deixando a alegação sobre a criptografia dos bancos não verificada.
- A violação de dados da Coinbase em 2025 expôs informações de clientes sem comprometer chaves privadas ou credenciais de login.
- A Zscaler documentou páginas falsas de verificação da Ledger projetadas para roubar frases de recuperação de carteiras.
O CoinMarketCap descreveu o alerta de Zhao como uma preocupação com phishing mais avançado possibilitado por informações expostas, enquanto o Bitcoin Archive atribuiu a ele a afirmação de que os bancos dependem de criptografia mais fraca que o Bitcoin. Nenhuma das publicações na captura de tela fornece os algoritmos, os tamanhos de chave ou os sistemas bancários necessários para verificar essa comparação.
Documentos de orientação do FBI descrevem fraude financeira assistida por IA
O alerta do FBI de dezembro de 2024 descreve criminosos usando IA generativa para tornar as fraudes mais convincentes e alcançar potenciais vítimas com menos esforço. Seus exemplos incluem sites falsos de investimento em criptomoedas, perfis fabricados em redes sociais e chatbots que direcionam visitantes para links maliciosos.
Criminosos podem usar texto e traduções gerados para eliminar erros de ortografia e gramática que, de outra forma, poderiam expor um golpe, disse a agência. Sua orientação descreve imagens sintéticas usadas para identidades falsas e documentos de identificação fraudulentos, além de videochamadas se passando por executivos ou outras figuras de autoridade.
O FBI alertou que áudio clonado pode imitar parentes que buscam pagamentos de emergência ou ser usado para se passar por clientes de bancos. Tais exemplos dizem respeito a fraude e abuso de identidade; o aviso não relata que a IA quebre as proteções criptográficas do Bitcoin.
Para as famílias, a agência recomenda combinar uma palavra ou frase privada para verificar a identidade de um parente. Ela aconselha limitar imagens pessoais e gravações de voz disponíveis publicamente que criminosos possam usar para criar imitações convincentes.
Alegações sobre a segurança do Bitcoin exigem uma comparação específica
O Padrão de Verificação de Segurança de Aplicações da OWASP lista a força criptográfica por algoritmo e tamanho de chave, usando uma tabela comparativa extraída de orientações emitidas pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos. A tabela coloca AES-128, RSA de 3.072 bits e criptografia de curva elíptica usando chaves de 256 a 383 bits na mesma categoria de segurança de 128 bits.
A estrutura da OWASP não classifica bancos e Bitcoin como dois sistemas uniformes. Sua orientação exige que as organizações identifiquem e documentem seus ativos criptográficos, incluindo algoritmos, chaves e certificados, e os avaliem à medida que a pesquisa e os requisitos criptográficos mudam.
A comparação com bancos atribuída a Zhao permanece uma afirmação sem essa evidência em nível de sistema. As duas publicações não identificam um banco, descrevem uma fraqueza criptográfica ou documentam um ataque de IA que tenha recuperado uma chave privada de Bitcoin.
A computação quântica apresenta uma questão técnica separada na orientação publicada pelo NIST. Em agosto de 2024, a agência finalizou três padrões pós-quânticos destinados a proteger informações eletrônicas contra ataques de computadores quânticos suficientemente capazes. Seu anúncio descreve máquinas que operam de forma diferente dos computadores convencionais e que poderiam derrotar métodos criptográficos amplamente utilizados.
O NIST afirmou que os padrões abrangem criptografia geral e assinaturas digitais, com aplicações que vão desde comunicações confidenciais até o comércio online. A agência incentivou os administradores a começar a integrar os padrões, pois a implantação leva tempo.
Coinbase revelou como registros roubados sustentaram a personificação
Uma exchange dos EUA documentou um ataque a dados de clientes com um mecanismo semelhante. Em maio de 2025, a Coinbase disse que criminosos subornaram funcionários de suporte no exterior para obter informações que pudessem usar ao fingir representar a empresa, conforme o crypto.news relatou anteriormente em seu relato sobre a violação de dados de clientes.
A própria divulgação da Coinbase listou detalhes de contato, imagens de documentos de identidade governamentais, identificadores financeiros mascarados e informações de conta entre os registros roubados. A empresa afirmou que os atacantes não obtiveram chaves privadas nem credenciais de login, e o acesso roubado por si só não lhes permitiu movimentar fundos de clientes.
A exchange rejeitou uma exigência de resgate e anunciou uma recompensa equivalente de US$ 20 milhões por informações que levassem à prisão e condenação dos atacantes. Sua divulgação descreveu salvaguardas, incluindo verificações extras de identidade em saques de grande valor e avisos de golpe para contas sinalizadas.
A Coinbase afirmou que seu reembolso voluntário cobriu clientes de varejo que enviaram fundos ao golpista como resultado direto do incidente antes do anúncio, sujeito a análise. A divulgação não estabeleceu que a IA foi usada nesses ataques.
Páginas de phishing da Ledger buscavam frases de recuperação de carteiras
Usuários de carteiras de hardware enfrentaram personificação por meio de publicidade em mecanismos de busca. Uma investigação da Zscaler de 25 de setembro, abordada em um artigo de 11 de outubro sobre sites falsos da Ledger, descreveu anúncios fraudulentos do Google que levavam usuários a uma interface de carteira falsificada.
A Zscaler documentou uma campanha que analisou em agosto, com redirecionamentos passando pelo Google Cloud Storage e pela Vercel antes de exibir uma página de phishing hospedada por meio do Google Sites. Os pesquisadores observaram endereços de redirecionamento mudando a cada 15 a 20 minutos.
O falso processo de verificação pedia aos visitantes suas frases de recuperação, que os atacantes poderiam usar para acessar carteiras sem possuir os dispositivos físicos, disseram os pesquisadores. O relato da Zscaler descreveu roubo de credenciais e não estabeleceu envolvimento de IA na campanha.
Os próprios avisos de campanha da Ledger descrevem cartas físicas que pedem aos destinatários que escaneiem um código QR ou visitem um site antes de inserir suas 24 palavras de recuperação. A empresa afirma que qualquer pessoa que possua essa frase pode acessar as contas criadas a partir dela, e alerta os usuários para nunca inseri-la em um computador.
A orientação do fabricante da carteira afirma que ele não envia e-mails pedindo aos clientes que atualizem o firmware do dispositivo, habilitem a autenticação de dois fatores ou tomem medidas semelhantes. Sua página de alerta inclui exemplos de cartas e e-mails fraudulentos usados para solicitar informações de recuperação.
