Ladrões de identidade exploram o processo de configuração da carteira Chivo Bitcoin de El Salvador

A princípio, Cynthia Gutierrez se recusou a baixar o Chivo, a carteira digital desenvolvida pelo governo de El Salvador para uso de Bitcoin em todo o país e lançada em 7 de setembro.

Ela decidiu abrir o aplicativo em 16 de outubro após saber de outros salvadorenhos que hackers haviam ativado carteiras associadas aos números de nove dígitos em suas carteiras de identidade, conhecidas como DUI, na sigla em espanhol.

“Isso estava crescendo cada vez mais, alcançando meu círculo próximo”, disse Gutierrez, 28, ao CoinDesk.

Quando Gutierrez inseriu suas informações pessoais, uma tela apareceu dizendo que seu número de documento já estava associado a uma carteira. Imediatamente, ela tirou uma captura de tela, temendo que seus dados fossem usados para fins ilícitos.

O caso de Gutierrez é um das centenas que os salvadorenhos relataram nas redes sociais e aos defensores locais desde setembro, quando o Bitcoin foi estabelecido como moeda legal e o Chivo começou a ser usado. amplamente utilizado no país.

Entre 9 e 14 de outubro, a Cristosal, uma organização de direitos Human em El Salvador, recebeu 755 notificações de salvadorenhos relatando roubo de identidade com suas carteiras Chivo, disse Rina Montti, diretora de pesquisa de direitos Human do grupo, ao CoinDesk.

Na maioria dos casos, os salvadorenhos afetados tentaram ativar suas carteiras depois de saberem do grande número de pessoas relatando que suas identidades haviam sido roubadas.

Os hackers tinham um incentivo: cada carteira veio carregada com US$ 30 em Bitcoin, fornecidos pela administração do presidente salvadorenho Nayib Bukele para incentivar os cidadãos a usar a Criptomoeda.

O governo de El Salvador não respondeu a um Request de comentário sobre as alegações de roubo de identidade envolvendo as carteiras até o momento desta publicação.

Com a adoção do Bitcoin, Bukele posicionou seu país centro-americano no centro de uma discussão global sobre o futuro do dinheiro. O processo não foi isento de críticos, como aquelas feitas contra o Artigo 7 da lei, que estipula que todos os comerciantes devem aceitar Bitcoin como forma de pagamento quando os clientes o oferecem.

O presidente mais tardenegado que a aceitação do Bitcoin seria obrigatória. Os salvadorenhos ficaram perplexos com a discrepância entre o que o presidente disse e o que a lei estabelecia.

Em agosto, as pesquisasmostrou que 65% a 70% dos salvadorenhos se opuseram à adoção do Bitcoin, e várias marchas de protesto ocorreram nas ruas. De acordo com o último oficial dados fornecidos por Bukele no final de setembro, mais de 2 milhões de pessoas baixaram a Chivo Wallet, como parte de uma agenda agressiva que também incluía mineração de Bitcoin com energia vulcânica.

Fácil de enganar

De acordo com o site oficial do Chivo, abrir uma conta requer escanear o DUI frente e verso, e então executar o reconhecimento facial para verificar a identidade do registrante. Mas vários salvadorenhos relataram evidências de que o sistema é falho.

Quando Adam Flores, um YouTuber salvadorenho que administra o canalLa Gatada SV, ouviu sobre os hacks, ele se lembrou de que sua avó não tinha aberto sua Chivo Wallet e decidiu usar o caso como um teste. Embora ele só tivesse uma fotocópia de seu DUI, ele tentou mesmo assim e, para sua surpresa, o aplicativo aceitou o documento como válido.

Flores seguiu com o processo de verificação, que então pediu reconhecimento facial em tempo real. O YouTuber tirou uma foto de um pôster em sua parede de Sarah Connor — uma personagem da série de filmes “Exterminador do Futuro”.

Segundos depois, a Chivo Wallet deu as boas-vindas à avó e liberou o incentivo de US$ 30, de acordo com um vídeo que Flores enviou ao CoinDesk como prova.

Outros casoscarregado para as redes sociais mostrou diretamente como apenas uma foto aleatória — em um caso, de uma caneca de café — foi o suficiente para substituir o DUI e enganar o teste de reconhecimento facial.

Os salvadorenhos nem sempre tentam abrir suas contas eles mesmos. De acordo com Montti, de Cristosal, a maioria dos 700 salvadorenhos que relataram roubo de identidade pediram a conhecidos para tentar transferir dinheiro pelo Chivo colocando seus números de DUI no campo de destinatário. Eles descobriram que os endereços estavam prontos para receber transferências. Em outras palavras, os números de ID já estavam registrados, por alguém que não era o proprietário legítimo.

Preocupado com a falsificação de identidade, Ramón Esquivel pediu a um conhecido que enviasse dinheiro para uma carteira com sua carteira sob efeito de álcool em 11 de outubro. Para sua surpresa, a transferência foi bem-sucedida, embora ele nunca tivesse ativado sua conta.

“Com raiva, percebi que eles usaram meu DUI”, disse Esquivel ao CoinDesk, acrescentando que após o episódio ele entrou com uma queixa no gabinete do procurador-geral. “Estou exposto a ser usado para cometer atos de lavagem de dinheiro que seriam registrados sob minha identidade, comprometendo minha integridade”, afirmou.

Outros casos mostraram que os fraudadores desviaram o dinheiro para contas que nem eram suas, mas de outras pessoas hackeadas.

Suporte ao cliente

Duas semanas atrás, Gabriela Sosa, uma apresentadora de mídia salvadorenha, tentou ativar uma Chivo Wallet por dirigir sob efeito de álcool, mas uma mensagem de erro apareceu na tela informando que ela já estava registrada.

Assim que aconteceu, ela ligou para o número de suporte oficial da Chivo, 192. “Continuei ligando por vários dias até que me disseram que eu tinha que ir a um ponto da Chivo”, disse Sosa ao CoinDesk. No último sábado, ela foi até aquele centro de ajuda e sua conta foi finalmente recuperada, mas o dinheiro não.

Em sua conta no Twitter, Sosa divulgou detalhes da conta para a qual os $30 foram direcionados. O nome do proprietário era Michael Santacruz.

Dias depois, colegas de trabalho e colegas da universidade enviaram capturas de tela daquele tweet para Santacruz, que nunca havia ativado sua conta no Chivo até então, de acordo com mensagens de bate-papo privadas que ele enviou a Sosa.ela postou.

Ele tentou, então, abrir sua conta, mas uma notificação disse que seu DUI já havia sido registrado. Assim como Sosa, Santacruz abordou um centro de ajuda da Chivo e, após recuperar sua conta, percebeu que ela havia sido usada para receber dinheiro de cinco contas hackeadas, disse ele. (As tentativas de entrar em contato com Santacruz para obter comentários não tiveram sucesso.)

Cristosal não foi a única organização não governamental (ONG) a lidar com o problema. A Acción Ciudadana, uma organização sem fins lucrativos especializada em auditoria social, apresentou uma notificação ao Gabinete do Procurador-Geral (FGR) em 12 de outubro, depois que o presidente do grupo, Humberto Sáenz, e o diretor Eduardo Escobar descobriram que hackers haviam registrado suas carteiras Chivo.

A Acción Ciudadana disse ao CoinDesk que até agora, duas semanas após o registro, não houve resposta do FGR.

Laura Nathalie Hernández, advogada de tecnologia do escritório salvadorenho Legal Novis, tem recebido pedidos de ajuda de vítimas de roubo de identidade em relação às suas Chivo Wallets. A primeira recomendação que ela deu às pessoas afetadas foi postar o incidente nas redes sociais para torná-lo público e também registrar um relatório no gabinete do procurador-geral.

Segundo Hernández, a entidade que administra o aplicativo deve ser o primeiro lugar a ser procurado. “Mas também T temos muita informação sobre quem é o responsável”, disse ela, acrescentando: “T sabemos quem o administra, se há uma terceira empresa. Não houve transparência.”

Responsabilidade pouco clara

De acordo com os termos e condições da Chivo, a autorização de uma conta está condicionada a um processo de conheça seu cliente (KYC) realizado pela CHIVO S.A. de C.V., umaempresa privadacriado pelo governo para lançar a carteira. Este processo de verificação “inclui o fornecimento das informações e documentos necessários para a conformidade total com o processo.”

A responsabilização da empresa não é clara. De acordo com otermos e Condições, os usuários concordam em “não divulgar ou divulgar a terceiros nenhuma informação, DUIs, senhas ou qualquer código usado para acessar o site”. Mas os termos também declaram que “não será responsável por nenhuma perda ou dano que o usuário possa sofrer como resultado de acesso não autorizado de terceiros à sua conta como resultado de hacks ou senhas perdidas”.

A equipe de suporte da Chivo não respondeu às perguntas da CoinDesk sobre quem é o responsável por um hack onde o verdadeiro proprietário da conta não fornece informações.

A carteira acrescenta que os serviços de verificação serão fornecidos pela empresa diretamente e/ou por meio de um terceiro contratado pela empresa para tal propósito. Mas até o momento da publicação, não havia respondido à pergunta da CoinDesk sobre qual outro terceiro fornece serviços de identificação para a plataforma.

Sosa, a apresentadora de mídia salvadorenha, disse ao CoinDesk que finalmente conseguiu seu dinheiro de volta e enfatizou que sua reclamação não é contra o aplicativo ou o governo de Bukele, apenas que ela quer aumentar a conscientização sobre o problema.

Gutierrez ainda não recuperou seu dinheiro. “Tentei entrar em contato com o serviço de atendimento ao cliente, e eles não me deram uma resposta, nem há uma instituição que seja clara sobre o processo a Siga neste caso”, disse ela.

Esquivel disse que não está interessado nem no incentivo de US$ 30 nem no aplicativo do governo.

“Se eu usar Bitcoin , será com uma carteira na qual terei a custódia do meu dinheiro”, disse ele.