Roubos de identidade na Revolut destacam os perigos do KYC: veja como resolver

O roubo maciço de mais de 153 milhões de carteiras de motorista dos EUA e do Canadá no início deste mês deveria deixar uma coisa absolutamente clara: o lugar mais seguro para uma cópia da sua carteira de motorista é lugar nenhum.

Os documentos de identidade vazados, que parecem ter vindo de um provedor de verificação de identidade, acabaram em um serviço de identidade da dark web chamado Nexus, junto com milhões de outros documentos de identidade e viagem roubados.

O perigo foi reforçado nesta semana depois que a fintech Revolut revelou ter sido enganada por um hacker, que a fez entregar grandes quantidades de dados confidenciais de clientes, incluindo cópias de passaportes e selfies de verificação. O hacker está agora liberando gradualmente os documentos de identificação de 680 clientes na internet, em uma tentativa de obter um resgate de 10 mil bitcoins.

A ironia é difícil de ignorar: os processos de Conheça Seu Cliente (KYC) foram concebidos para tornar os sistemas financeiros mais seguros, estabelecendo quem são os clientes e garantindo que eles não estejam envolvidos em atividades nefastas.

Mas a forma como o KYC costuma ser implementado exige que as empresas armazenem grandes quantidades de informações confidenciais, o que cria valiosos honeypots para criminosos.

E o problema está ficando mais difícil de ignorar. Só no primeiro semestre de 2026, violações de dados nos EUA afetaram pelo menos 343 milhões de pessoas, segundo a Privacy Rights Clearinghouse. Ainda mais frustrante é que já é possível verificar a identidade de uma pessoa sem armazenar seus documentos de identidade usando provas de conhecimento zero:

Efrat Fenigson, apresentadora do podcast You’re The Voice, escreve e fala extensivamente sobre privacidade e KYC. Ela disse à Magazine:

“Quando os reguladores continuam impondo um modelo que garante esse resultado — enquanto a tecnologia para verificar sem armazenar já existe — isso acende um sinal de alerta. Isso implica falta de pensamento racional e de vontade real para resolver os problemas.”

Então, quantos vazamentos mais serão necessários até que essa vontade comece a ceder?

O KYC foi criado para coletar sua identidade, não apenas verificá-la

Os sistemas de KYC atuais praticamente evoluíram em torno da premissa de que as instituições devem ver os passaportes ou carteiras de motorista dos clientes, registrar as informações relevantes e então armazenar evidências da verificação.

343 milhões de pessoas já foram afetadas por violações de dados nos EUA em 2026. Fonte: Privacy Rights Clearinghouse.

Mas há um problema óbvio nessa abordagem: ela criou um vasto ecossistema de provedores de identidade, bancos de dados, fornecedores e sistemas de conformidade que armazenam, cada um, verdadeiros tesouros de seus dados individuais de KYC. Cada cópia adicional dos seus dados cria outro possível ponto de falha — e os hackers estão cada vez mais criativos ao elaborar formas de acessá-los.

No caso da Revolut, o hacker enviou e-mails solicitando os dados de KYC a partir de um endereço legítimo de uma autoridade policial italiana. Lyudmyla Kozlovska, presidente da Open Dialogue, disse no X que as leis da UE não deixavam outra opção para a Revolut além de cumprir a solicitação.

“A legislação da UE contra a lavagem de dinheiro não impõe ao banco nenhum dever de verificação e não oferece nenhum mecanismo significativo para verificar quem realmente está por trás de uma solicitação estatal autenticada. Recusar-se a responder implica multas na casa dos milhões. Na prática, a verificação é impossível.”

Relacionado: 200 mil “vítimas” falsas de IA são usadas para atrair fraudadores na internet

Susie Violet Ward, diretora e cofundadora da Bitcoin Policy UK, alerta que o verdadeiro problema está no armazenamento desnecessário de dados de identidade:

“Precisamos parar de tratar a verificação de identidade e a entrega da sua identidade como se fossem a mesma coisa.”

Se uma empresa só precisa saber que alguém tem mais de 18 anos, argumenta ela, não deveria automaticamente precisar de detalhes adicionais, como seu nome completo, endereço, data exata de nascimento e uma cópia permanente dos documentos de identidade relevantes:

“A ironia é que o KYC foi concebido para tornar os sistemas mais seguros, mas a forma como o implementamos atualmente pode criar um problema de segurança completamente diferente. É possível redefinir uma senha após um vazamento, mas não é possível redefinir sua identidade da mesma maneira.”

A tecnologia para acabar com o acúmulo de documentos de identidade já existe

Para os defensores das criptomoedas, a solução óbvia é usar provas de conhecimento zero. Trata-se de uma prova matemática que demonstra que algo é verdadeiro sem revelar os detalhes. Por exemplo, é possível usar um aplicativo de celular para gerar uma prova confirmando que sua carteira de motorista diz que você tem mais de 18 anos, sem enviar sua data de nascimento nem uma imagem da própria carteira.

O fundador da Zcash, Zooko Wilcox, oferece uma explicação útil da tecnologia ZK neste vídeo.

Uma explicação útil da tecnologia ZK. Fonte: Crypto Fireside

Evin McMullen, diretor-executivo e cofundador da Billions Network, que desenvolve soluções de identidade digital e ZK com preservação da privacidade, disse à Magazine:

“A tecnologia funciona e já está em produção, em milhares de aplicações e instituições reguladas. O que a impede de avançar é o fato de que toda a estrutura de conformidade foi construída em torno da coleta e do armazenamento de cópias de documentos.”

McMullen afirma que a barreira “nunca foi a tecnologia”, mas sim as regras, os incentivos e a infraestrutura construídos em torno dela:

“Este é um problema de governança e padrões usando uma fantasia de tecnologia.”

Se a tecnologia funciona, o que está impedindo seu uso?

A União Europeia já está incorporando a tecnologia ZK ao projeto de seus sistemas de identidade digital e verificação de idade, desenvolvendo uma verificação de idade com preservação da privacidade que permite aos usuários provar sua idade sem revelar sua identidade completa ou a data exata de nascimento.

Relacionado: Temores de uma epidemia de hacks de DeFi impulsionados por IA são exagerados por enquanto — mas não por muito tempo

Sua Carteira de Identidade Digital também oferece suporte à “divulgação seletiva”, permitindo que os usuários revelem apenas as informações necessárias para uma determinada transação.

Então, por que isso não está sendo implementado de forma mais ampla no KYC financeiro?

Segundo McMullen, “regulamentação e compreensão” são os maiores obstáculos à adoção:

“O obstáculo mais comum é as equipes de conformidade confundirem ‘vimos o documento de identidade’ com ‘precisamos manter o documento de identidade’, então elas coletam dados em excesso para se proteger.”

Ela afirma que a interoperabilidade é outro problema, já que as provas criptográficas só são úteis “se a parte que confia nelas puder verificá-las sem precisar consultar novamente quem as emitiu”. Isso exige estabelecer padrões compartilhados, o que é mais fácil falar do que fazer.

ZK não resolve magicamente o KYC

Há outra ressalva importante: substituir um documento de identidade por uma prova de conhecimento zero não elimina automaticamente todos os problemas de privacidade ou segurança.

Fenigson destaca que também é importante saber a que uma credencial ZK continua vinculada:

“Os incentivos apontam para o controle, não para a privacidade. As provas de conhecimento zero permitem que alguém prove um fato, como ter mais de 18 anos ou não estar em uma lista de sanções [...] O que falta é saber a que essa prova está vinculada. Atualmente, ela geralmente está vinculada a uma conta dentro do banco de dados de outra pessoa.”

A Carteira de Identidade Digital da UE oferece suporte à divulgação seletiva. Fonte: Comissão Europeia

Assim, tudo se resume a quem controla a credencial em última instância. Se uma pessoa gera uma prova com preservação da privacidade, mas essa prova está vinculada a uma conta no banco de dados de outra pessoa, ela continua dependente de um intermediário centralizado.

As regras não são tão claras quanto você pode imaginar

Em muitos casos, as regras não exigem de fato o armazenamento de dados de identificação — trata-se mais de uma convenção, porque é assim que sempre foi feito.

As orientações da Força-Tarefa de Ação Financeira (FATF) explicitamente consideram como os sistemas de identidade digital podem ser usados para realizar a devida diligência do cliente, em vez de exigir que as instituições dependam de documentos físicos de identidade.

As recomendações da FATF também funcionam como uma estrutura baseada em risco, deixando que cada país implemente os padrões por meio de seus próprios sistemas jurídicos e regulatórios.

“Em muitos regimes, a regra é que você deve verificar a identidade e manter registros dessa verificação, não que deva guardar para sempre a imagem bruta do documento”, diz McMullen.

Isso significa que uma atestação verificável criptograficamente, acompanhada de um registro que mostre que a verificação pertinente foi realizada, poderia ser suficiente para cumprir as exigências sem criar outra cópia permanente do documento de identidade.

Mas, como as orientações são “ambíguas”, diz McMullen, as instituições simplesmente optam por guardar tudo, porque suas equipes de compliance sabem que auditores e inspetores aceitarão isso.

Em outras palavras, mesmo que as regras permitam tecnicamente uma abordagem diferente, ninguém está disposto a ser o primeiro a correr esse risco, como explica Ward:

“Existe um instinto na regulamentação de que mais informações significam mais controle e, portanto, mais segurança.”

É difícil imaginar que isso mude, a menos que as regras sejam alteradas para permitir explicitamente provas de conhecimento zero. E, embora nenhum sistema seja perfeito, pelo menos a tecnologia ZK evita a necessidade de coletar e reter tantas informações sensíveis. Como diz McMullen:

“Você não pode perder aquilo que nunca teve.”

Revista: 10 dos maiores mistérios não resolvidos das criptomoedas