Roubos de identidade revelam perigos do KYC: Provas de conhecimento zero surgem como solução

O roubo de mais de 153 milhões de carteiras de condutor de cidadãos norte-americanos e canadianos revelou um problema fundamental nos processos de verificação de clientes: armazenar cópias de documentos de identidade cria vulnerabilidades perigosas. Conforme reportado pela Cointelegraph, os documentos roubados acabaram numa plataforma de serviços de identidade da dark web denominada Nexus, juntamente com milhões de outros documentos de viagem e de identificação obtidos ilicitamente.

O incidente foi agravado pela revelação de que a fintech Revolut foi enganada por um atacante que conseguiu acesso a dados sensíveis de clientes, incluindo cópias de passaportes e selfies de verificação. O criminoso está agora a disponibilizar os documentos de identidade de 680 clientes online e a solicitar um resgate de 10 mil Bitcoin. O paradoxo é flagrante: os processos "Conhecer o Seu Cliente" (KYC) foram concebidos para aumentar a segurança dos sistemas financeiros, mas a forma como são implementados cria imensos depósitos de dados pessoais que atraem criminosos.

Os números revelam a dimensão do problema. Apenas na primeira metade de 2026, violações de dados nos EUA afetaram pelo menos 343 milhões de pessoas, de acordo com o Privacy Rights Clearinghouse. A questão torna-se ainda mais frustrante porque já existe tecnologia capaz de verificar a identidade de alguém sem armazenar documentos: as provas de conhecimento zero. Conforme explicado por especialistas no setor, estas provas matemáticas permitem demonstrar que algo é verdadeiro sem revelar detalhes específicos.

Susie Violet Ward, diretora e co-fundadora da Bitcoin Policy UK, aponta um problema central: quando uma empresa apenas precisa de saber se alguém tem mais de 18 anos, não deveria necessitar automaticamente de dados como o nome completo, morada, data de nascimento exata e cópia permanente dos documentos de identificação. A infraestrutura de KYC evoluiu com base na suposição de que as instituições devem ver e guardar passaportes ou carteiras de condutor, mas esta abordagem criou um vasto ecossistema de fornecedores de identidade, bases de dados e sistemas de conformidade que armazenam múltiplas cópias dos dados de cada pessoa.

Evin McMullen, CEO e co-fundador da Billions Network, que desenvolve soluções de identidade digital e de conhecimento zero focadas em privacidade, reconhece que a barreira nunca foi a tecnologia, mas as regulações, incentivos e infraestruturas construídas em torno dela. A União Europeia já está a incorporar tecnologia de conhecimento zero no design dos seus sistemas de identidade digital e verificação de idade, desenvolvendo verificação de idade que preserve a privacidade permitindo aos utilizadores provar idade sem revelar identidade completa nem data de nascimento exata.

No entanto, obstáculos significativos impedem uma adoção mais generalizada. Segundo McMullen, regulação e compreensão são os maiores entraves. A interoperabilidade representa outro desafio crítico: as provas criptográficas apenas são úteis se a parte que confia nelas conseguir verificá-las sem contactar quem a emitiu, exigindo normas partilhadas. Efrat Fenigson, anfitriã do podcast "You're The Voice" e especialista em privacidade e KYC, alerta que quem controla a credencial é igualmente importante: se uma prova de privacidade permanece vinculada a uma conta numa base de dados de terceiros, o utilizador continua dependente de intermediários centralizados.

Curiosamente, em muitos casos as regulações não exigem realmente o armazenamento de dados de identificação – trata-se mais de uma convenção estabelecida. O Grupo de Ação Financeira Internacional (FATF) reconhece explicitamente como sistemas de identidade digital podem ser utilizados para cumprir diligência devida de clientes, sem exigir que instituições se baseiem em documentos de identidade físicos. As recomendações do FATF funcionam como um enquadramento baseado em risco, deixando aos países individuais implementar normas através dos seus próprios sistemas legais e regulatórios, sugerindo que o caminho para soluções de conhecimento zero já existe no plano regulatório.