Um incidente de segurança envolvendo um sistema terceirizado da Bits of Gold pode não ter afetado diretamente criptomoedas ou credenciais de acesso, mas ainda cria um risco importante para clientes: dados pessoais suficientes para tornar golpes futuros muito mais convincentes.

A corretora cripto israelense informou seus usuários em 16 de agosto depois de identificar acesso não autorizado a uma ferramenta externa usada em funções de suporte e análise de dados.

A empresa afirma que bloqueou o acesso, desconectou o sistema comprometido de suas fontes de informação e notificou as autoridades.

Agora, a investigação tenta descobrir quantos registros foram realmente acessados e se alguma informação já foi utilizada.

O conjunto de dados potencialmente exposto merece atenção

Entre os dados que podem ter ficado acessíveis estão nomes, números de identificação, endereços de e-mail e telefones.

Também aparecem endereços IP, informações de contas bancárias e endereços públicos de carteiras de criptomoedas.

Nenhum desses elementos, isoladamente, permite necessariamente roubar ativos digitais.

O problema aparece quando todos são combinados.

Um atacante pode construir um perfil detalhado do usuário e utilizar informações legítimas para aumentar a credibilidade de uma fraude.

Carteiras públicas podem ser ligadas a pessoas reais

Endereços de blockchain são normalmente públicos.

O risco aumenta quando uma determinada carteira pode ser associada a uma identidade, telefone ou e-mail específico.

Isso pode permitir que criminosos criem mensagens personalizadas mencionando dados reais da vítima.

Também pode facilitar a escolha de alvos considerados mais interessantes.

O vazamento, portanto, não precisa incluir chaves privadas para gerar consequências relevantes.

Bits of Gold diz que senhas ficaram protegidas

A empresa afirma que as credenciais de contas não foram comprometidas.

Também não há indicação de acesso aos scans de documentos de identidade.

Detalhes completos de cartões de crédito e códigos CVV estariam fora do incidente.

Os ativos digitais e fundos dos clientes também não teriam sido afetados.

Essa é uma diferença importante em relação a uma invasão direta de carteiras ou sistemas de custódia.

Phishing passa a ser a ameaça mais imediata

Com dados de contato e informações financeiras em mãos, criminosos podem tentar se passar pela própria Bits of Gold.

Também podem fingir representar bancos ou outras empresas de serviços financeiros.

Uma mensagem pode informar, por exemplo, que a conta precisa ser “protegida” depois do vazamento.

Em seguida, o golpista pode pedir senha, código de autenticação, chave privada ou uma transferência para uma suposta carteira segura.

É exatamente esse tipo de abordagem que a empresa pediu aos usuários para ignorar.

O momento do ataque pode favorecer os fraudadores

Quando uma empresa reconhece publicamente um incidente, clientes ficam mais atentos e preocupados.

Criminosos podem explorar esse contexto.

Uma falsa mensagem sobre “verificação de segurança devido ao vazamento” pode parecer plausível porque o evento realmente aconteceu.

Por isso, o período imediatamente posterior à divulgação pode ser especialmente sensível.

A origem parece estar fora da infraestrutura principal

Bits of Gold relacionou o problema a um fornecedor de software.

Esse prestador teria sido atingido em um incidente cibernético mais amplo que afetou outras empresas ao redor do mundo.

Segundo informações citadas, centenas de organizações podem ter sido envolvidas.

O fornecedor ainda não foi identificado publicamente.

As informações disponíveis também indicam que a Bits of Gold provavelmente não foi escolhida como alvo específico.

Ataques a fornecedores ampliam o alcance de uma única invasão

Um software externo pode ter acesso a dados de dezenas ou centenas de empresas.

Quando esse fornecedor é comprometido, uma única invasão pode gerar incidentes em uma grande rede de clientes.

Isso torna a segurança de terceiros uma parte relevante da proteção de dados.

Uma empresa pode manter seus sistemas principais protegidos e ainda assim enfrentar exposição por causa de uma ferramenta integrada ao fluxo de trabalho.

O número de 200 mil clientes não está confirmado

Relatos publicados no domingo sugeriram que aproximadamente 200 mil clientes poderiam ter sido afetados.

A própria Bits of Gold não confirmou esse número.

O aviso reproduzido pela imprensa israelense também não informa quantos registros foram acessados.

A empresa afirma ter mais de 300 mil clientes.

Até que a análise técnica seja concluída, usar 200 mil como número definitivo de vítimas seria prematuro.

O incidente não significa que todos os dados listados foram roubados

A linguagem da empresa também exige cuidado.

Bits of Gold afirma que “pode ter ocorrido acesso” a determinadas informações.

Isso não confirma necessariamente que cada categoria foi copiada em todos os registros.

Também não estabelece que o atacante tenha exfiltrado todas as informações disponíveis.

A investigação precisará separar acesso potencial, acesso confirmado e eventual uso posterior.

Empresa diz não ter sinais de uso dos dados

Até o momento, Bits of Gold afirma não ter encontrado indicação de utilização maliciosa das informações potencialmente expostas.

Esse é um dado positivo, mas não encerra o risco.

Bases de dados roubadas podem permanecer inativas durante um período.

Elas também podem ser combinadas posteriormente com informações obtidas em outros vazamentos.

Por isso, campanhas de phishing podem aparecer muito depois do evento inicial.

O setor cripto é particularmente sensível à engenharia social

No mercado tradicional, um criminoso muitas vezes precisa superar sistemas bancários adicionais antes de movimentar dinheiro.

No setor cripto, uma vítima que entrega sua chave privada ou aprova uma transferência pode perder os ativos rapidamente.

Isso torna informações pessoais especialmente úteis para golpes direcionados.

O objetivo muitas vezes não é hackear a blockchain.

É convencer o usuário a autorizar voluntariamente a transferência.

Outros fornecedores já causaram problemas semelhantes

O caso não é isolado.

Um incidente envolvendo a ShipMonk expôs informações pessoais de 13.689 clientes da Trezor.

Também naquele caso, um dos principais riscos era o uso posterior dos dados para phishing direcionado.

Esse padrão reforça a necessidade de separar segurança dos fundos de segurança dos dados pessoais.

Uma carteira pode permanecer tecnicamente intacta enquanto o usuário fica mais vulnerável a manipulação.

Bits of Gold ocupa uma posição regulada em Israel

A empresa opera sob a licença financeira 56716.

Ela afirma ter sido a primeira companhia cripto ativa em Israel a receber uma licença permanente de serviços financeiros da Capital Market, Insurance and Savings Authority.

Seu site informa uma base superior a 300 mil clientes.

Essa supervisão regulatória aumenta a necessidade de fornecer informações claras sobre a extensão do incidente e as medidas corretivas.

O crescimento da empresa torna o episódio mais relevante

Bits of Gold também ampliou seu papel no mercado israelense ao longo de 2026.

Em abril, recebeu aprovação para emitir e distribuir BILS, uma stablecoin ligada ao shekel.

A autorização ocorreu depois de aproximadamente dois anos em ambiente regulatório experimental.

Segundo a empresa, cada BILS é respaldado individualmente por shekels mantidos em reserva.

O incidente acontece, portanto, em um momento de expansão da companhia para além do serviço tradicional de corretagem.

Serviços continuam funcionando normalmente

A empresa afirma que suas operações permanecem disponíveis.

Nenhuma ação geral foi exigida dos clientes no momento.

Isso faz sentido considerando que senhas e fundos não teriam sido comprometidos.

Ainda assim, os usuários precisam permanecer atentos a comunicações suspeitas.

A ausência de necessidade de trocar credenciais não significa ausência de risco de engenharia social.

A investigação recebeu apoio especializado

Bits of Gold informou que sua equipe de segurança iniciou uma revisão ampla do incidente.

Uma empresa especializada em resposta a incidentes cibernéticos também participa da análise.

Os sistemas continuam sendo monitorados.

O objetivo é estabelecer exatamente quando ocorreu o acesso, quais informações foram alcançadas e quantos usuários foram afetados.

O fornecedor comprometido ainda é uma peça desconhecida

A identidade do software externo é uma das informações mais importantes que ainda não foram divulgadas.

Saber qual fornecedor foi atingido pode ajudar a determinar quais outras empresas estão expostas.

Também pode esclarecer que tipo de dado a plataforma processava.

Até essa divulgação, a dimensão global do evento permanece incompleta.

Clientes não devem transferir ativos por orientação recebida de surpresa

Uma recomendação importante é nunca enviar criptomoedas apenas porque uma mensagem afirma que isso é necessário para proteger a conta.

Bits of Gold alertou explicitamente contra esse comportamento.

O mesmo vale para senhas, códigos de verificação e chaves privadas.

Uma empresa legítima não precisa que o usuário entregue sua chave privada para investigar um incidente de dados.

Verificação por canais independentes reduz o risco

Se um cliente receber uma mensagem alegando ser da corretora, o método mais seguro é ignorar links e números incluídos na própria mensagem.

O contato deve ser feito diretamente pelos canais oficiais já conhecidos.

Essa separação reduz a possibilidade de seguir uma página de phishing criada especificamente para aproveitar o vazamento.

A mesma cautela deve ser aplicada a supostas ligações de bancos ou equipes de segurança.

Próximas informações serão decisivas

A investigação ainda precisa responder quatro perguntas principais.

Quantos clientes foram efetivamente afetados?

Qual fornecedor foi comprometido?

Quais registros foram realmente acessados?

Existe evidência de que os dados saíram do sistema ou foram utilizados?

Sem essas respostas, qualquer estimativa sobre a gravidade total permanece provisória.

Conclusão

O incidente envolvendo a Bits of Gold não apresenta, até agora, sinais de roubo direto de criptomoedas, senhas ou dados completos de cartões.

O risco está em outro lugar.

Nomes, identificadores, contatos, dados bancários e carteiras públicas podem fornecer material suficiente para golpes de engenharia social muito mais sofisticados.

A empresa bloqueou o acesso e iniciou uma investigação com especialistas externos, mas ainda não confirmou o número total de usuários afetados.

Ponto-chave final

Para os clientes, a principal defesa agora não é mover fundos às pressas, mas desconfiar de quem pedir isso. Se criminosos tiverem acesso a dados pessoais reais, futuras mensagens podem parecer legítimas. A recomendação mais importante é nunca fornecer senha, código de autenticação ou chave privada e sempre verificar qualquer contato por um canal oficial independente.