Análise de Atomic Wallet

Não coloque bitcoin na Atomic Wallet e, se você já tem algum lá, mova-o. Ao longo de dois dias, em 2 e 3 de junho de 2023, usuários de bitcoin, Ethereum, TRON, XRP, Litecoin, Dogecoin, BNB, Polygon e Stellar viram seus saldos saírem de uma vez. A Elliptic calculou as perdas em mais de US$ 100 milhões distribuídos em mais de 5.500 carteiras, um dos maiores roubos já sofridos pelos usuários de uma única carteira de autocustódia, e atribuiu a operação ao Lazarus Group da Coreia do Norte com base em padrões de lavagem que coincidiam com roubos anteriores ligados a esse Estado, incluindo fundos passados pelo mixer Sinbad.

O que transforma isso em um alerta e não em um mês ruim é tudo o que veio depois. A Atomic disse primeiro que menos de 0,1% dos usuários haviam sido afetados, depois menos de 1%, números que não resistiram ao contato com as evidências on-chain. A empresa listou quatro causas possíveis, malware no dispositivo, uma invasão de infraestrutura, código injetado e um ataque man in the middle, e nunca disse qual delas foi. Nenhuma indenização foi paga. Duas ações coletivas nos Estados Unidos fizeram a mesma acusação, a de que a empresa sabia de problemas de segurança por uma auditoria de 2021 e não agiu. A primeira, Meany v. Atomic Protocol Systems, no Colorado, foi rejeitada em 10 de setembro de 2024 porque o tribunal entendeu que não tinha jurisdição pessoal sobre uma empresa estônia e uma dos Emirados Árabes Unidos, o que não resolveu nada sobre se a acusação é verdadeira. Uma segunda, Alasu v. Atomic Protocol Systems, foi protocolada no Distrito Norte da Califórnia em 5 de junho de 2025 e alterada em novembro daquele ano.

Depois há o site. Leia atomicwallet.io hoje e você nunca descobriria que algo disso aconteceu. A página inicial anuncia “Com a confiança de 15.000.000 usuários no mundo todo”, promete não exigir contas, verificação nem KYC, e ainda traz cartões de depoimentos atribuídos a CZ, Charlie Shrem e John McAfee, que morreu em 2021. Não há aviso do incidente, nem análise posterior, nem link para uma em nenhum lugar da página. Uma carteira pode sobreviver a um ataque. Recusar-se a explicá-lo para a próxima pessoa que a baixar é uma decisão separada, e é sobre essa decisão que trata este registro.

Se você ainda tem criptomoedas na Atomic Wallet, a atitude segura não é importar sua frase de recuperação para um novo aplicativo. Se essa frase foi exposta em 2023, importá-la leva a exposição junto. Crie uma carteira totalmente nova em outro lugar, com uma frase gerada em um dispositivo que a Atomic nunca tocou, e envie as criptomoedas para ela.