Swiss Bitcoin Pay offline após intrusão interna: dados de clientes expostos

Um processador de pagamentos Bitcoin sediado na Suíça suspendeu o acesso à sua plataforma após detetar atividade maliciosa nos seus sistemas internos. Dados sensíveis de clientes poderão ter sido comprometidos.

O incidente levanta questões cruciais sobre a segurança das infraestruturas não-custodiais, frequentemente apresentadas como mais seguras do que as exchanges centralizadas. A realidade é mais complexa do que aparenta.

Eis o que se sabe até ao momento e o que isto implica para os comerciantes e utilizadores afetados.

Uma intrusão interna na Swiss Bitcoin Pay: o que aconteceu

A Swiss Bitcoin Pay, empresa fundada no final de 2022 e sediada em Neuchâtel, opera como processador de pagamentos Bitcoin não-custodial para comerciantes — tanto em on-chain como através da Lightning Network. A 15 de setembro de 2026, a empresa anunciou via X ter colocado temporariamente todos os seus servidores offline após detetar que um utilizador malicioso terá acedido aos seus sistemas internos.

De acordo com a declaração oficial da empresa, os dados potencialmente expostos incluem: endereços de e-mail, endereços Bitcoin, IBANs, históricos de transações e palavras-passe com hash. A empresa esclarece que ainda não foi possível determinar se outros dados foram afetados, estando a investigação em curso.

Do ponto de vista financeiro, a Swiss Bitcoin Pay garante que os fundos dos utilizadores estão em segurança e que qualquer montante em dívida será integralmente devolvido. A arquitetura não-custodial do serviço — em que os pagamentos transitam diretamente para as carteiras dos comerciantes — limita mecanicamente a exposição a perdas de fundos. Não foi ainda comunicada qualquer data de reabertura.

Porque este incidente vai além de uma simples falha de segurança

O aspeto mais preocupante deste caso não é a perda de fundos — inexistente até ao momento — mas sim a natureza dos dados expostos. A combinação de endereços Bitcoin, IBANs e históricos de transações constitui um perfil financeiro completo. Este tipo de dados pode ser explorado em ataques de phishing direcionados, engenharia social ou, nos casos mais graves, tentativas de extorsão física (os tristemente célebres ataques de «chave inglesa de cinco dólares»).

O facto de as palavras-passe estarem armazenadas com hash é uma boa prática, mas não garante a sua inviolabilidade caso tenham sido utilizados algoritmos de hash fracos ou salts insuficientes. A Swiss Bitcoin Pay ainda não especificou o método de hash utilizado — uma informação que os utilizadores afetados têm todo o direito de exigir.

Este incidente recorda também que o modelo não-custodial protege os fundos, mas não necessariamente os metadados financeiros. Num ecossistema onde a privacidade é um valor fundamental, a centralização de dados KYC e transacionais continua a ser um vetor de ataque estrutural, independentemente do modelo de custódia dos ativos.

O que os utilizadores da Swiss Bitcoin Pay devem fazer agora

Se utiliza ou já utilizou a Swiss Bitcoin Pay, há várias medidas que deve tomar de imediato, sem aguardar o fim da investigação. Em primeiro lugar, altere imediatamente a sua palavra-passe em todas as plataformas onde utilize as mesmas credenciais — a reutilização de palavras-passe continua a ser um dos vetores de ataque mais explorados. Ative a autenticação de dois fatores (2FA) em todos os serviços onde esteja disponível.

De seguida, monitorize com atenção os seus endereços Bitcoin associados à plataforma. Embora os fundos sejam declarados seguros, uma vigilância reforçada sobre as transações de entrada e saída é aconselhável. Caso tenha associado um IBAN à sua conta, informe o seu banco do incidente a título preventivo.

Por fim, esteja atento a tentativas de contacto não solicitadas nas próximas semanas — e-mails de phishing, falsos suportes técnicos ou mensagens nas redes sociais que aleguem ser da Swiss Bitcoin Pay. A empresa indicou que comunicará exclusivamente através da sua conta X oficial durante o período de investigação.