Corretora Brasil Bitcoin apura suposto vazamento de 657 mil clientes; anúncio inclui CPF e histórico de transferências

Neste sábado (10), um anúncio em um fórum clandestino passou a circular com o nome da Brasil Bitcoin, corretora brasileira de criptomoedas. O vendedor — anônimo, como de costume — afirma ter 657.547 registros de clientes da empresa e cobra pagamento para não publicar o material. O anúncio foi divulgado pelo perfil Dark Web Intelligence, no X, e repercutido pelo portal especializado Livecoins.

Neste domingo (11), a corretora se manifestou. Antes do que ela disse, o que o anúncio diz.

O que o vendedor afirma ter

Segundo a publicação, o pacote reúne:

• nome, CPF, e-mail, telefone e CEP dos clientes;
• registros de negociação e de transferências: moeda, valor, preço, taxas, se a ordem foi de compra ou de venda, rede usada e destino;
• endereços, tipos de carteira, endereços IP e a identificação do aparelho e do navegador usados no acesso.

O criminoso diz que os dados foram extraídos em maio de 2026 por meio de uma conta corporativa, de pessoa jurídica, na plataforma. Nada disso está confirmado.

O que a Brasil Bitcoin diz

Em nota, a empresa afirmou que acionou sua equipe de segurança da informação para verificar a autenticidade do material e destacou três pontos: os dados mencionados não incluem senhas nem credenciais de autenticação; não houve acesso aos fundos, e a custódia dos ativos não foi afetada; e a divulgação, “por si só, não comprova a autenticidade do material anunciado”.

A corretora disse ainda que, se o conteúdo for confirmado, prestará esclarecimentos e comunicará a ANPD e os usuários afetados, dentro dos critérios e prazos legais. E deixou um alerta aos clientes: usar apenas os canais oficiais e desconfiar de mensagens ou ligações que peçam senha, código de verificação ou transferência — mesmo quando a pessoa do outro lado souber dados pessoais corretos.

Essa última frase é, talvez, a mais importante da nota.

Sem senha, mas com contexto

É comum ouvir que um vazamento “sem senha” é menos grave. Para o cofre, talvez. Para o golpe, não.

Pense no que um estelionatário consegue fazer com esse conjunto, se ele for verdadeiro. Ele sabe seu nome, seu CPF e seu telefone — isso qualquer vazamento entrega. Mas sabe também que você investe em cripto, em qual corretora, quanto movimentou, em que rede e para qual carteira. A ligação do falso suporte deixa de ser genérica: “Identificamos uma transferência sua de tal valor para tal rede, precisamos validar”. É o tipo de detalhe que derruba a desconfiança até de quem é cuidadoso — e é exatamente o golpe que a corretora antecipou no seu alerta.

O raciocínio vale também para empresas. Já mostramos aqui como a invasão a um emissor de notas fiscais expôs cadastros e contas bancárias de centenas de milhares de clientes e como um e-mail que parecia do governo arrancou documentos de clientes de um banco digital. Contexto verdadeiro é o melhor disfarce que existe.

O que a LGPD exige se for confirmado

O regulamento de comunicação de incidentes da ANPD (Resolução CD/ANPD nº 15/2024) manda o controlador comunicar à autoridade, em três dias úteis, o incidente que possa afetar significativamente os direitos dos titulares e que envolva ao menos um de seis critérios — entre eles, dados financeiros, definidos como os relacionados às transações financeiras do titular, e dados em larga escala. Um histórico de ordens e transferências de centenas de milhares de pessoas se encaixa, à primeira vista, nos dois.

O prazo conta a partir do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais. Por isso a etapa de verificação que a Brasil Bitcoin diz estar fazendo agora é decisiva — e não um detalhe.

Para quem é cliente

Enquanto a apuração não termina, o roteiro é simples e vale para qualquer corretora: ninguém legítimo pede senha, código de verificação ou frase de recuperação por telefone ou mensagem; transferência “de validação” não existe; na dúvida, desligue e procure a empresa pelo aplicativo oficial ou digitando você mesmo o endereço do site.

E se o atendente souber o valor da sua última operação, isso não prova que ele é da corretora. Pode provar apenas que ele leu o anúncio.

Fontes

• Brasil Bitcoin — nota oficial sobre a alegação de vazamento (11/10/2026), reproduzida pelo Livecoins: livecoins.com.br
• Dark Web Intelligence — publicação sobre o anúncio (10/10/2026): x.com/DailyDarkWeb

• ANPD — Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança): legisweb.com.br

• Foto de capa: moeda simbólica de bitcoin sobre teclado de notebook — Satheesh Sankaran, CC BY 2.0, via Wikimedia Commons

• Segunda imagem: caixa eletrônico de bitcoin em Praga, na República Tcheca — Perituss, CC0, via Wikimedia Commons