Plataforma de negociação de criptoativos confirma acesso não autorizado em 12 de novembro, suspende serviços e pede que clientes revoguem diretamente nas corretoras as chaves de API conectadas.
Uma invasão confirmada, mas ainda sem vetor identificado
A Coinigy confirmou em 12 de novembro de 2026 que um terceiro não autorizado acessou seus sistemas. A empresa retirou a plataforma do ar durante uma investigação forense e alertou que chaves de API e segredos fornecidos pelos usuários para integração com corretoras podem ter sido comprometidos. Até o comunicado inicial, não havia confirmação de cópia, uso indevido dessas credenciais ou perdas financeiras. Por isso, o alerta é preventivo, mas exige resposta imediata.O ponto crítico é que as credenciais são emitidas pelas próprias corretoras e podem continuar válidas mesmo depois de uma integração ser removida da Coinigy. Desligar o serviço intermediário não equivale a revogar autorizações concedidas em sistemas externos. A empresa pede que clientes atuais e antigos acessem diretamente cada exchange para cancelar todas as chaves ainda ativas, inclusive as de leitura.
A causa da intrusão não foi divulgada. Não há evidências públicas suficientes para atribuí-la a uma CVE, injeção de código, phishing, falha de autenticação ou exposição de banco de dados. A investigação terá de esclarecer o ponto de entrada, os privilégios obtidos, os sistemas alcançados e se os segredos foram acessados ou exportados.
Como as chaves podem transformar uma invasão em prejuízo
Uma chave de API permite que um aplicativo consulte saldos ou envie ordens a uma corretora sem exigir a senha do titular a cada operação. As permissões variam conforme a exchange e a configuração: leitura, negociação e, em certos serviços, transferências. Em documentação histórica, a Coinigy descreveu armazenamento de segredos em banco separado e criptografado; isso não demonstra como estavam protegidos no momento do incidente nem comprova quebra da criptografia.Mesmo quando a permissão de saque está desativada, uma chave autorizada a negociar pode permitir ordens fraudulentas. Em mercados de baixa liquidez, um criminoso pode tentar executar compras ou vendas a preços artificialmente desfavoráveis para deslocar valor econômico entre contas. Trata-se de um cenário técnico de risco descrito pela própria Coinigy, não de uma operação já comprovada neste ataque.
Chaves apenas de leitura apresentam impacto distinto: não deveriam autorizar negociações, mas podem revelar posições, saldos e estratégias. Listas de IP autorizados, limites de permissão e monitoramento de ordens reduzem exposição, mas sua eficácia depende das regras de cada corretora.
Resposta à crise e providências para os usuários
A suspensão temporária da Coinigy é uma medida de contenção e investigação, mas não elimina credenciais já emitidas por terceiros. A orientação prioritária é abrir o site ou aplicativo oficial de cada corretora, localizar a administração de APIs e revogar as chaves associadas à Coinigy. Alterar a senha da plataforma ou simplesmente apagar a conexão em sua interface não substitui esse procedimento.Depois da revogação, é necessário examinar ordens abertas e executadas, posições, movimentações, saques e alterações de segurança. Operações desconhecidas devem ser comunicadas imediatamente à corretora e à Coinigy, preservando identificadores, horários e registros. Novas chaves não devem ser conectadas à plataforma até a confirmação oficial de que é seguro fazê-lo. A Coinigy também adverte para que clientes não enviem senhas, chaves, segredos ou códigos de autenticação por mensagens.
A autenticação multifator protege o acesso interativo à conta, mas não impede necessariamente chamadas automatizadas com uma chave de API válida. A prevenção exige revogação efetiva, menor privilégio, restrições de origem e vigilância sobre transações.
O problema maior: confiança delegada a plataformas intermediárias
O incidente ilustra um risco recorrente em integrações financeiras: credenciais entregues a um serviço podem sobreviver ao fim do relacionamento e permitir ações em ambientes que não sofreram invasão direta. A organização intermediária torna-se parte da superfície de ataque das contas conectadas.
Para empresas que administram APIs e segredos de terceiros, a resposta deve combinar isolamento de sistemas, controle de acesso privilegiado, criptografia com gestão robusta de chaves, inventário de credenciais, registros de auditoria e planos de revogação coordenada. Os clientes, por sua vez, precisam manter visibilidade sobre quais aplicações podem consultar dados ou executar operações em seu nome.
Enquanto a Coinigy não divulgar resultados adicionais da perícia, o alcance do incidente permanece incerto. A incerteza não justifica esperar: o controle mais efetivo disponível aos usuários é invalidar imediatamente as credenciais potencialmente expostas nas corretoras emissoras.
Be the first to comment