Crypto․com não acobertou o ataque hacker de 2023, afirma CEO de ZachXBT

Um adolescente e seus cúmplices assumiram o controle da conta de um funcionário da corretora de criptomoedas Crypto․com em 2023, fato que o investigador de blockchain ZachXBT acusa a empresa de ter ocultado. 

Em resposta à publicação da exchange no sábado, a ZachXBT afirmou que a plataforma havia sido comprometida diversas vezes, mas que supostamente "acobriu uma violação que afetou as informações pessoais dos usuários".

CEO da Crypto.com: Não acobertamos nenhuma violação pública de dados

O diretor executivo Kris Marszalek respondeu às alegações de ZachXBT na segunda-feira, classificando-as como “completamente infundadas”. Em uma publicação no X, ele escreveu que a empresa não deixou de divulgar nenhuma violação de segurança e que havia apresentado uma “Notificação dedentde Segurança de Dados” aos órgãos reguladores.

Gostaria de abordar de forma direta e clara algumas informações incorretas que estão sendo disseminadas por fontes desinformadas…
Qualquer sugestão de que não relatamos ou divulgamos um incidente de segurançadentdentdent dentdentdentdent dentdent em documentos adicionais…

-Kris (@kris) 22 de setembro de 2025

Segundo Marszalek, odent de 2023 envolveu uma campanha de phishing direcionada a um funcionário, mas foi contida em poucas horas. 

“Nenhum fundo de cliente foi acessado ou esteve em risco, e o impacto foi sentido apenas em um número extremamente limitado de informações pessoais identificáveis ​​(PII) parciais de nossos usuários. Nossos sistemas são testados em situações extremas e estão em constante aprimoramento – temos orgulho de nossa cultura de segurança em primeiro lugar e de possuirmos o maior número de certificações de segurança de qualquer empresa do nosso setor”, afirmou Marszalek.

Mas, após sua resposta, a ZachXBT pediu ao CEO que compartilhasse um URL onde os incidentesdentdivulgados publicamente, assim como a Coinbase e a Gemini fizeram no início deste ano em relação às suas violações de segurança.

“Como o CEO da Crypto.com, Kris, me bloqueou, não posso responder à publicação dele e responderei aqui… Saldos de usuários, nomes, e-mails e números de telefone vazados em outrosdentsão um pouco mais do que apenas 'informações pessoais identificáveis ​​parciais'”, respondeu o investigador. 

Em julho, a ZachXBT acusou a empresa de uso de informações privilegiadas, por ter queimado 70 bilhões de tokens CRO em 2021, apenas para reemitir a mesma quantidade em 2023 por meio de uma votação de governança na qual os validadores ligados à exchange controlaram a maior parte do resultado.

“Lembrem-se, eles também imprimiram mais tokens, do nada. Tudo indica que algo está errado”, comentou um usuário sobre as alegações. A Crypto.com não respondeu a essas acusações e continua a construir parcerias, incluindo uma aliança com a Trump Media para criar um tesouro de ativos digitais para CRO.

Hacker adolescente é o responsável pela invasão da Crypto.com

Segundo as investigações da Bloomberg, os autores do crime faziam parte do coletivo Scattered Spider, incluindo um jovem de 18 anos da Flórida chamado Noah Urban. 

Urban admitiu ter participado de uma das redes de crimes cibernéticos mais destrutivas do mundo, que em 2023 orquestrou um ataque à MGM Resorts International, causando prejuízos de US$ 100 milhões, e outro à varejista britânica Marks & Spencer, com prejuízos em torno de US$ 400 milhões.

Com a ajuda de outro hacker conhecido apenas como Jack, o adolescente teria usado técnicas de engenharia social para se passar por funcionários e "convencido" a equipe a acessar a conta de um funcionário da Crypto.com, além dos sistemas da United Parcel Service, para coletar dados pessoais. 

A UPS confirmou posteriormente que corrigiu a vulnerabilidade, mas recusou-se a fornecer detalhes sobre o assunto. Quanto à Crypto.com, um porta-voz da empresa afirmou que o incidente afetou apenas "um número muito pequeno de indivíduos" e que nenhum fundo de cliente foi comprometido.

Noah Urban foi condenado à prisão

A trajetória de Noah Urban no cibercrime começou aos 15 anos em comunidades de jogos de Minecraft, onde ele aprendeu técnicas de troca de SIM que exigiam pouca experiência técnica. 

Segundo a Bloomberg, Urban tinha uma voz grave, incomum para sua idade; ele costumava se passar por funcionário de telecomunicações e enganar os funcionários para obter seus números de telefone.

"Olá, meu nome é Kevin e estou ligando da gerência de segurança interna da T-Mobile", dizia um dos roteiros que o então adolescente usava em suas táticas de engenharia social. 

Conforme revelado na reportagem investigativa, ele ganhava US$ 50 por cada chamada bem-sucedida, chegando a acumular até US$ 3.000 em uma única semana, enquanto seus amigos gamers ouviam seu canal no Discord.