a fuga de dados do livro razão: como a privacidade falhou e como o MPC poderia resolver isso

tl;dr

em 2020, a ledger, o gigante francês das carteiras de hardware confiado por milhões, sofreu uma das mais infames violações de privacidade do crypto.
ao contrário da maioria dos hacks, nenhuma moeda foi roubada. mas as consequências foram igualmente devastadoras: mais de 272.000 nomes de clientes, números de telefone e endereços residenciais foram expostos online, juntamente com mais de um milhão de endereços de e-mail.

a violação tornou-se um estudo de caso sobre o que acontece quando a privacidade é tratada como uma reflexão tardia, e por que tecnologias como computação multipartidária (MPC), agora sendo promovidas por projetos como @ArciumHQ, são urgentemente necessárias para prevenir o próximo desastre.

------------------------------

como aconteceu

julho de 2020: a primeira violação

uma chave de API mal configurada no sistema de e-commerce da ledger permitiu que um atacante acessasse dados de clientes. a princípio, a ledger acreditava que apenas cerca de 9.500 clientes tinham sido expostos, principalmente nomes, endereços e detalhes de pedidos. aproximadamente 1 milhão de endereços de e-mail também foram comprometidos.

setembro de 2020: o incidente do insider do shopify

alguns meses depois, a shopify revelou que dois funcionários desonestos tinham roubado dados de clientes de vários comerciantes. a ledger foi um deles. este incidente alargou o âmbito: muitos mais nomes, números de telefone e endereços estavam agora em mãos criminosas.

dezembro de 2020: o vazamento torna-se público

No dia 20 de dezembro de 2020, hackers divulgaram o banco de dados completo do livro-razão online. De repente, mais de 272.000 registos detalhados de clientes e 1 milhão de endereços de e-mail estavam disponíveis para qualquer pessoa baixar.

o livro razão confirmou a violação em uma declaração de seu CEO, mas até lá o dano foi feito.
aqui está a declaração:

------------------------------

as consequências: como isso afetou a privacidade no mundo real

a violação do livro-razão não drenou as carteiras diretamente. em vez disso, transformou os clientes em alvos:

- phishing: golpistas enviaram e-mails convincentes de "suporte do ledger", enganando os usuários para revelar frases-semente. muitos perderam seus fundos dessa forma.

- extorsão: as vítimas receberam e-mails ameaçando violência se não pagassem, muitas vezes citando o seu endereço de casa para provar credibilidade.

- perigo físico: vários usuários relataram que estranhos apareceram em suas casas ou ameaçaram roubo. possuir um ledger significava que você provavelmente detinha cripto.

- trocas de SIM: com números de telefone vazados, atacantes sequestraram contas de redes sociais, exchanges ou e-mails.

- custo psicológico: além do roubo, o stress de ser "doxxed", tendo a sua identidade ligada aos seus ativos em criptomoedas, assombrou milhares.

a lição foi clara: as violações de privacidade atingem mais fundo do que as pessoas pensam.

------------------------------

por que a segurança tradicional falhou

a verdade é que a segurança interna do ledger não foi "quebrada". o problema era estrutural:

- armazenamento centralizado: todos os dados dos clientes viviam em bases de dados de marketing e e-commerce.

- acesso em texto claro: mesmo que criptografados em repouso, os sistemas descriptografaram dados para operações normais.

- acesso excessivamente privilegiado: insiders ou chaves de API roubadas poderiam extrair tudo de uma vez.

em resumo, toda a confiança e todo o risco estavam concentrados em um só lugar.

------------------------------

MPC sobre privacidade 1.0

a computação de múltiplas partes (MPC) oferece uma abordagem diferente. em vez de armazenar dados em um único banco de dados, eles são divididos em "partes" criptográficas em vários servidores.
nenhuma parte única vê os dados completos.

mesmo quando os cálculos são executados, eles acontecem sem reconstruir o texto simples ou descriptografar os dados.

hackers ou insiders não conseguem roubar o que não existe em um só lugar.

imagine se o ledger tivesse usado MPC:

- um vazamento de chave de API concederia acesso a funções, não a bancos de dados brutos.

- os insiders da shopify não podiam despejar uma lista completa de nomes e endereços, porque não existia uma lista completa em nenhum sistema.

- até mesmo campanhas de phishing em massa teriam sido mais difíceis, uma vez que os endereços de e-mail não estariam armazenados em forma simples.

------------------------------

arcium: tornando o MPC real

embora o MPC exista na academia há décadas, só agora está se tornando prático.
arcium está na vanguarda deste impulso, construindo uma rede de computação confidencial descentralizada otimizada para MPC.

as inovações chave incluem:

- arcis DSL: uma linguagem baseada em rust para escrever aplicações MPC sem necessidade de uma profunda expertise em criptografia.

- Ambientes de execução MPC (MXEs): nós distribuídos que processam dados em conjunto sem que nenhum nó veja as entradas brutas.

- alinhamento de incentivos: participação dos operadores na rede, tornando a colusão cara.

- escalabilidade: ao adquirir pioneiros como "inpher", a arcium integra avanços de desempenho, tornando o MPC adequado para finanças, IA e aplicativos de consumo em larga escala.

na prática, isso significa que empresas como a ledger poderiam construir rastreamento de pedidos, suporte ao cliente e campanhas de marketing, tudo isso sem jamais expor dados sensíveis dos clientes a insiders ou hackers.

------------------------------

isto vai além do ledger: porque precisa de MPC

o ledger não está sozinho. Brechas semelhantes afetaram:

- prestadores de cuidados de saúde, a vazar dados dos pacientes.

- startups financeiras, vazando históricos de transações.

- governos, vazando registros de eleitores ou de identificação.

em todos os casos, o problema fundamental é o mesmo: o armazenamento de dados centralizado é fraco, e a privacidade colapsa quando falham.

MPC oferece um caminho a seguir:

- para crypto/web3: proteger os dados do utilizador enquanto ainda permite serviços em cadeia ou fora da cadeia.

- para fintech & e-commerce: evite armazenar endereços de clientes ou números de telefone em bases de dados vulneráveis a ataques.

- para IA: treinar modelos em conjuntos de dados sensíveis (como registos médicos) sem revelar entradas individuais.

------------------------------

conclusão:

o hack da ledger mostrou que os usuários de criptomoedas não arriscam apenas perder moedas; arriscam perder a sua segurança e tranquilidade.

se o MPC tivesse sido implementado em 2020, o vazamento do Ledger talvez nunca tivesse acontecido.
o futuro do web3 depende de aprender esta lição: a segurança não se trata apenas de proteger moedas, mas sim de proteger pessoas.

@serloost
@Sobix1313
@aberamaaa
@AdamuJrda1st