O cofundador da Based, Edison, disse que a empresa alertou o órgão regulador de dados de Singapura e registrou uma ocorrência policial após uma violação recente.
O incidente aconteceu em 5 de outubro, e a empresa informou que o painel interno por trás de seu programa de cartões Visa pode ter exposto os nomes, números de passaporte, datas de nascimento e endereços residenciais dos titulares dos cartões.
Que atualização a Based tem para seus usuários afetados?
Em uma publicação no X em 11 de outubro, o cofundador da Based, Edison, disse que a equipe de conformidade e operações da empresa tem contatado pessoas cujos dados foram afetados pelo incidente. A empresa envolveu a Personal Data Protection Commission (PDPC), o órgão de fiscalização de privacidade de Singapura, além de outros reguladores.
Edison afirmou que a equipe está coordenando com as autoridades policiais a investigação do caso.
A Cryptopolitan informou que um invasor acessou o sistema interno de operações da empresa e obteve arquivos de KYC de clientes vinculados a endereços de carteira. O conjunto de dados exposto incluía nomes, datas de nascimento, nacionalidades, números de passaporte ou de documento de identidade nacional de Singapura, endereços de e-mail, números de telefone e endereços residenciais.
Os dados foram coletados pela emissora do cartão Based Visa Card, um produto para pagamentos que funciona com o aplicativo de negociação da empresa e oferece até 8% de cashback.
A Based captou US$ 11,5 milhões em uma rodada Série A liderada pela Pantera Capital e afirma ter ultrapassado 100.000 usuários cadastrados.
O número de clientes afetados pela violação ainda não foi divulgado. Também não foi confirmado se houve movimentação de fundos durante o incidente.
A violação afetou apenas a plataforma de cartões da Based?
A Based insiste que seu aplicativo de negociação e suas carteiras não foram afetados, pois as carteiras usam um modelo de autocustódia, a plataforma não detém chaves e o login social é gerenciado pela Privy. O negócio de cartões continuará funcionando normalmente enquanto a investigação prossegue
Edison respondeu a perguntas sobre um back-end administrativo que aparentemente havia sido exposto cinco meses antes. Ele esclareceu que o sistema era um protótipo inicial de administração do OpenClaw, usado para testes internos em março de 2026 e desativado desde então. Ele não tem relação com a violação, pois não tinha nenhuma ligação com o negócio de cartões e não armazenava dados de clientes.
A publicação de Edison também afirma que as prioridades atuais da Based são apoiar os clientes afetados, reforçar os controles e o monitoramento da segurança interna e continuar expandindo as operações de negociação.
No entanto, registros de identidade vinculados a endereços de carteira, como os expostos no ataque à Based, podem levar a “ataques com sequestro”, agressões físicas e sequestros com o objetivo de forçar detentores de criptomoedas a transferir fundos. A Chainalysis descobriu que as vítimas costumam ser escolhidas com base em dados vazados, redes sociais ou informações privilegiadas.
O incidente da Based também faz parte de uma série de exposições de dados de KYC no setor. A Cryptopolitan informou que a Revolut revelou um ataque no qual um e-mail falso, supostamente enviado por um órgão governamental, foi usado para obter documentos de identidade e históricos de transações de clientes. Em seguida, os atacantes exigiram cerca de US$ 3 milhões.
Se você está lendo isto, já está um passo à frente. Continue assim com a nossa newsletter.