Metabase zero-day vaza KYC de 200 mil clientes israelenses
A Bits of Gold, maior corretora regulada de criptoativos de Israel, confirmou que dados pessoais de aproximadamente 200 mil clientes foram acessados por meio de uma vulnerabilidade zero-day CVSS 10.0 explorada na plataforma de analytics Metabase — o mesmo vetor que afetou ShipMonk/Trezor, SafePal, Framework e dezenas de outras empresas a partir de 2 de agosto de 2026. Fundos, chaves privadas e senhas não foram expostos; o risco imediato é de engenharia social e phishing direcionado com dados KYC completos.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O vetor técnico é o CVE-2026-72898 (SQL injection sem autenticação, CVSS 10.0) no Metabase, confirmado como zero-day explorado em produção a partir de 2–3 de agosto de 2026 e vinculado diretamente ao incidente na cadeia de fornecimento que atingiu a Bits of Gold. Confiança alta: confirmado por Metabase, CISA (KEV), BleepingComputer e pelo próprio comunicado da ShipMonk aos clientes Trezor.
O número de 200 mil registros afetados é alegado, não confirmado pela própria empresa. O comunicado interno da Bits of Gold, reproduzido pelo Calcalist, não especifica um total — e a base de clientes declarada pela empresa varia entre 'mais de 200 mil' e 'mais de 300 mil' dependendo da fonte consultada. O número de 200 mil deve ser tratado como estimativa intermediária, não como cifra auditada.
A Bits of Gold não foi alvo direto: a evidência convergente indica que o ataque visou a infraestrutura do Metabase Cloud e atingiu a corretora como vítima colateral de um evento global que comprometeu centenas de empresas simultaneamente.
Os dados expostos (RG israelense + dados bancários + endereço de carteira pública + email/telefone) formam um pacote KYC completo particularmente valioso para golpes de engenharia social e SIM-swap direcionados a detentores de criptoativos identificáveis em Israel.
O fornecedor terceirizado comprometido não foi identificado publicamente pela Bits of Gold em seus comunicados. A atribuição ao Metabase é inferida pela convergência de incidentes contemporâneos (Trezor/ShipMonk, Framework, Tally, Kilo Code) que descrevem o mesmo vetor e o mesmo período — mas a empresa não confirmou 'Metabase' nominalmente em seus comunicados públicos.
Nenhum ator de ameaça foi identificado ou reivindicou a autoria. Dado o perfil do ataque (zero-day contra SaaS de analytics, exfiltração de dados de clientes de múltiplas empresas simultaneamente), o padrão é consistente com um ator financeiramente motivado, mas não há base para atribuição a grupo específico.
Analysis
O incidente na Bits of Gold é inseparável de um evento de cadeia de fornecimento de maior escala: a exploração do CVE-2026-72898 no Metabase, uma plataforma de business intelligence e analytics usada por milhares de empresas. A falha — SQL injection sem autenticação no endpoint /api/session/reset_password, CVSS 10.0 — permite que um atacante remoto sem credenciais injete SQL na base de dados do Metabase, escale para acesso administrativo, roube credenciais de bancos de dados conectados e exporte qualquer dado acessível por essas conexões. A exploração ativa foi detectada em 2–3 de agosto; o advisory formal e o patch foram publicados em 6 de agosto. A CISA incluiu a vulnerabilidade no KEV. Até o momento da publicação deste relatório, nenhum CVE havia sido atribuído publicamente segundo fontes anteriores, mas o The Hacker News confirmou a designação CVE-2026-72898.
A Bits of Gold confirma o incidente, mas não confirma o número de afetados. Há uma tensão clara nos dados disponíveis: o comunicado interno reproduzido pelo Calcalist usa a expressão 'pode ter havido acesso a certos dados pessoais', enquanto múltiplos veículos internacionais afirmam categoricamente que '200 mil clientes foram afetados'. A distinção importa. A empresa declara ter mais de 300 mil clientes (crypto.news) ou 'mais de 250 mil' (Yahoo Finance) — o que torna o número de 200 mil plausível como proporção da base, mas não confirma que foi exatamente esse o volume exfiltrado. Nenhuma fonte primária — comunicado oficial da empresa, filing regulatório, declaração à imprensa com assinatura de porta-voz — apresenta 200 mil como número auditado.
O vetor específico que atingiu a Bits of Gold — 'sistema de suporte a análise de dados de terceiros' — é consistente com o Metabase, mas a empresa não nomeou o fornecedor publicamente. A cadeia de evidências circunstanciais é forte: o Metabase foi o vetor no incidente ShipMonk/Trezor (confirmado em notificação da ShipMonk aos clientes, reproduzida pelo BleepingComputer); o período do ataque (início de agosto) e a descrição de 'evento global afetando centenas de empresas simultaneamente' convergem. A atribuição ao Metabase como fornecedor comprometido da Bits of Gold é moderadamente confiável, mas permanece inferência até confirmação direta.
O perfil dos dados expostos é o que torna este caso mais sério do que um vazamento de email corporativo. Dados KYC completos — nome, RG israelense, email, telefone, IP, dados bancários e endereço de carteira pública — formam o insumo perfeito para três categorias de ataque: (a) phishing altamente personalizado se passando pela Bits of Gold ou por instituições financeiras israelenses; (b) SIM-swap direcionado, usando nome + RG + telefone para convencer operadoras; (c) identificação de detentores de criptoativos para ataques físicos ('wrench attacks'), risco documentado e crescente — a Chainalysis registrou mais de US$ 30 milhões roubados em ataques físicos a detentores de cripto só no primeiro semestre de
2026. O endereço de carteira pública não compromete fundos diretamente, mas confirma que o titular possui criptoativos.
A Bits of Gold notificou as autoridades regulatórias israelenses (CMISA, reguladora de provedores de serviços financeiros sob a licença
56716) e contratou empresa especializada em resposta a incidentes cibernéticos. Não há registro público de manifestação formal do regulador sobre o caso até o momento desta publicação. O fato de a empresa ser a primeira a receber licença permanente de VASP em Israel e ter recebido aprovação para emitir a stablecoin BILS em abril de 2026 aumenta a relevância regulatória do incidente — um precedente de responsabilidade de terceiros em infraestrutura de analytics para uma empresa fintech licenciada.
Timeline
- 02 Aug 2026Metabase detecta exploração ativa de zero-day (CVE-2026-72898) em sua plataforma cloud. O ataque tem duração de aproximadamente 4 horas segundo a Kilo Code, uma das vítimas confirmadas.
- 03 Aug 2026Metabase bloqueia endpoints maliciosos e implanta patch emergencial em instâncias cloud. Instâncias self-hosted permanecem vulneráveis até aplicação manual da correção.
- 06 Aug 2026Metabase publica advisory formal, classifica a falha como Crítica (CVSS 10.0) e confirma exploração ativa. ShipMonk é notificada pelo Metabase sobre comprometimento de seus dados.
- 08 Aug 2026ShipMonk notifica a Trezor sobre acesso não autorizado a sistemas com dados de pedidos de clientes — confirmando o elo da cadeia de fornecimento.
- 10 Aug 2026SecurityWeek e HelpNetSecurity publicam análise técnica do zero-day. CISA adiciona CVE-2026-72898 ao catálogo KEV, exigindo correção por agências federais até 14 de agosto.
- 13 Aug 2026Trezor notifica 13.689 clientes sobre exposição de dados pessoais via ShipMonk/Metabase.
- 16 Aug 2026SafePal confirma exposição de dados de ~39.798 clientes via plug-in de rastreamento de pedidos de terceiro. No mesmo dia, a Bits of Gold notifica clientes sobre acesso não autorizado a sistema de analytics terceirizado, afirmando que o incidente faz parte de 'evento cibernético amplo que afetou outras empresas mundialmente'. Empresa bloqueia acesso, desconecta o sistema afetado e notifica autoridades israelenses.
- 17 Aug 2026CoinDesk, DataBreaches.net, crypto.news e outros veículos publicam o incidente. Número de ~200 mil clientes afetados circula amplamente, mas sem confirmação nominal pela Bits of Gold.
Data involved
Impact
Aproximadamente 200 mil clientes israelenses da Bits of Gold — número preliminar e não confirmado oficialmente pela empresa — tiveram potencialmente expostos: nome completo, número de identidade nacional israelense (tebuat zehut), email, telefone, endereço IP, dados bancários e endereço de carteira pública em blockchain. Fundos, chaves privadas, senhas, documentos digitalizados e códigos CVV não foram expostos segundo a própria empresa. O impacto imediato é risco de engenharia social sofisticada: os dados combinados permitem construir abordagens personalizadas e críveis para extrair senhas, códigos 2FA ou autorizar transferências fraudulentas. O risco de SIM-swap é real dado que RG + telefone + nome são combinação suficiente para pressionar operadoras de telefonia. A presença de dados bancários eleva o risco de fraude financeira direta. Não há indício de comprometimento dos sistemas core de trading ou custódia da empresa.
Technical links
Recommendations
- Clientes da Bits of Gold devem ativar alerta de fraude junto ao banco israelense vinculado à conta e monitorar movimentações — os dados bancários expostos, mesmo sem CVV, são suficientes para tentativas de engenharia social contra atendimento bancário.
- Qualquer empresa que use Metabase (cloud ou self-hosted) deve verificar se está rodando versão ≥ 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 (versões com correção do CVE-2026-72898) e revisar logs de acesso ao endpoint /api/session/reset_password a partir de 2 de agosto de 2026.
- Empresas reguladas que usam plataformas de analytics SaaS devem mapear quais dados de clientes (especialmente KYC) estão acessíveis por instâncias Metabase ou similares e avaliar se o princípio de mínimo privilégio está aplicado nas conexões de banco de dados — um BI tool com acesso a toda a base KYC é superfície de ataque desproporcional.
- Clientes afetados devem ser orientados a desconfiar de qualquer contato (telefone, email, WhatsApp) que mencione dados específicos da conta — o nível de personalização possível com os dados expostos torna o phishing genérico irrelevante como modelo de ameaça; o risco real é de abordagem cirúrgica com dados reais.
- A Bits of Gold e empresas em situação equivalente devem conduzir revisão de todos os contratos com fornecedores SaaS para verificar cláusulas de notificação de incidente, direito de auditoria e responsabilidade por exfiltração de dados de terceiros — o caso ilustra que a responsabilidade regulatória não segue o dado até o fornecedor.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O fornecedor terceirizado comprometido não foi nomeado publicamente pela Bits of Gold — a divulgação do nome do fornecedor e do CVE exato explorado resolveria esta lacuna e permitiria avaliar a extensão real do evento global.
O número exato de registros exfiltrados não foi confirmado por fonte primária — um comunicado regulatório formal à CMISA ou notificação individual aos clientes com contagem auditada resolveria esta lacuna.
Não há confirmação pública de que o regulador israelense (CMISA) abriu investigação formal ou impôs medidas corretivas — acompanhamento do Diário Oficial israelense e de comunicados da autoridade regularia esta lacuna.
A extensão dos dados bancários expostos não está clara: 'bank account details' pode significar apenas IBAN/número de conta ou incluir dados suficientes para débitos — a Bits of Gold não especificou o nível de granularidade.
Nenhum ator de ameaça foi identificado — atribuição dependeria de análise forense dos logs de acesso ao Metabase e de inteligência de infraestrutura de comando e controle, nenhuma das quais foi divulgada publicamente.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.