O título é um trocadilho em inglês. Wrench attack é como se chama o roubo sob coação física, o "ataque da chave de grifo"; vira French attack. Fica em inglês porque não funciona em português, e mira duas coisas: o Estado, que mantém o cadastro, e o registro de incidentes, que não cobre todos os países do mesmo jeito. Nunca as vítimas.
Se você tem bitcoin na França e declara, você está num banco de dados. Em junho de 2025 uma funcionária da administração fiscal foi presa, acusada de consultar esse banco de dados para o crime organizado. Segundo os investigadores, as consultas incluíam, entre outras, pessoas que haviam declarado ganhos em criptomoedas.
A França é também onde o ataque da chave de grifo virou assunto nacional, e este texto é sobre a ligação entre esses dois fatos.
Um banco de dados, consultado
O que a apuração diz
A reportagem descreve uma agente na Île-de-France consultando o Mira, sistema interno do fisco com dados sensíveis, sem nenhuma razão profissional para estar ali. Os resultados, endereços e situação financeira, teriam ido para um intermediário ligado ao crime organizado. O pagamento teria saído por Western Union.
Ela está presa desde 30 de junho de 2025, investigada por associação criminosa e cumplicidade em agressão contra um agente penitenciário. Em audiência, teria admitido os fatos e se recusado a dizer quem dava as ordens. O processo está aberto e nada aqui é veredito.
A parte que deveria incomodar você não é nenhuma dessas.
Como veio à tona, e por que isso é o pior
O caso veio à tona porque um dos endereços que ela repassou era de um agente penitenciário, e esse agente foi violentamente agredido. Alguém puxou esse fio e achou o resto na outra ponta.
Ou seja: o lado cripto não foi descoberto por uma vítima cripto denunciando uma invasão e um investigador refazendo o caminho. Foi descoberto por acaso, a partir de outro crime, contra outro tipo de alvo. O que deixa uma pergunta que ninguém consegue responder: quantas consultas não deixaram fio nenhum para alguém puxar?
Não é "provavelmente muitas". É impossível saber. Essa é a resposta honesta, e ela é pior do que um número grande seria.
A versão mais forte do conselho, levada a sério
Sempre aparece alguém, por aqui, dizendo: então não crie o registro. Compre sem KYC. Não declare nada. Não deixe rastro.
Isso merece ser levado a sério em vez de descartado, porque como higiene pessoal está certo. Menos registros é melhor do que mais registros. Quem nunca esteve em banco de dados nenhum tem menos com o que se preocupar do que quem já esteve.
Três coisas impedem que isso seja um mecanismo de segurança.
A exposição é uma catraca
A primeira é que só paga adiantado.
Registro não se descria. Vazamento não se desvaza. O que a corretora sabia de você em 2019 ela sabe para sempre, e quem obteve depois o que ela sabia também. O que você declarou está no Mira.
Com isso, a conta corre contra você nas duas pontas. Ficar discreto custa mais a cada ano: cada ano que você segura, cada contraparte com quem você lida, cada serviço que agora quer um documento. E vale menos a cada ano, porque a sua discrição só serve de alguma coisa se ninguém já tiver publicado você.
Você paga mais todo ano por uma coisa que vale menos todo ano. Isso não é uma defesa num ano ruim. É uma defesa com direção.
Um crime, ou um banco de dados garimpado
A segunda é mais simples e, para a maioria das pessoas, resolve a questão.
Onde ganhos ou saldos são legalmente declaráveis, "não deixe registro" não é discrição. É omissão, e omissão é crime.
Levado ao pé da letra, então, o conselho é uma instrução que o detentor cumpridor da lei não tem permissão para seguir. Você pode estar em dia ou pode estar invisível. Escolha um.
E o consolo de sempre, de que a cópia do Estado pelo menos está segura, é justamente o assunto desse caso. O francês cumpridor fez tudo certo, declarou os ganhos como devia, e foi parar num arquivo que estaria sendo consultado sob encomenda por gente que queria saber onde ele morava.
Uma repartição honesta, um funcionário desonesto
Quero ter cuidado com o alvo. Isto não é uma história sobre uma administração fiscal corrupta. Até onde vai a reportagem é uma funcionária, e o caso está sendo processado, que é o sistema funcionando. É esse o ponto. Uma Receita perfeitamente honesta com uma funcionária desonesta produz o mesmo desfecho para o detentor. O fato estrutural não é a traição. É que existe uma lista consultável de quem tem bitcoin, e se ela continua fechada depende da integridade de todo mundo que algum dia teve acesso a ela, para sempre.
Discrição nunca foi um mecanismo
A terceira razão torna as duas anteriores quase dispensáveis, e tem um século.
Princípio de Kerckhoffs: suponha que o atacante conhece o sistema. Tudo menos a chave é público. Você julga um projeto pelo desempenho dele contra um adversário que conhece a sua situação, porque mais cedo ou mais tarde algum conhece.
Discrição reprova nisso por construção: é uma esperança sobre a ignorância do atacante, e não um mecanismo. The Denial Spiral classifica assim a categoria inteira que está à venda, com base na documentação dos próprios fabricantes. E The Deadly Race é o que essa esperança te custa quando se revela equivocada e você é a pessoa que está na sala.
O ataque da chave de grifo, e o ataque francês
O sujeito com a chave de grifo lá em cima é a piada do título. Prefiro explicá-la a deixá-la ali achando graça de si mesma.
A desproporção, e do que ela é feita
A França responde por 61 dos 351 incidentes do registro público de ataques físicos a detentores de bitcoin mantido por Jameson Lopp. São 17,4% de tudo que está registrado no mundo, num país com cerca de 0,9% da população mundial. Em 2026 ela responde por algo como dois terços de tudo que o registro anotou.
O ataque da chave de grifo está virando o ataque francês.
E é isto que precisa viajar junto com essa frase. Ela é uma afirmação sobre o que é registrado pelo menos tanto quanto sobre o que acontece. O registro é montado a partir da imprensa. Os ataques na França viraram assunto nacional contínuo em 2025, o que plausivelmente aumenta a taxa com que casos franceses entram no registro, independentemente de quantos ocorrem. Um país cuja imprensa cobre isso intensamente parece pior do que um país cuja imprensa não cobre, e parte dessa diferença é jornalismo, não crime.
O que os dados não resolvem
Então a França domina o que está registrado. Quanto disso é incidência e quanto é visibilidade é exatamente a pergunta que alguém com dados franceses não públicos poderia responder e que este conjunto de dados não responde. Se for o seu caso, quero falar com você.
O que não está em dúvida é o formato. Quadrilhas organizadas, levantamento prévio, alvos escolhidos em listas. Inclusive, aqui, uma lista que o Estado mantinha porque a lei mandou.
O conselho diz: mantenha um perfil discreto. A lei diz: declare seus ganhos. Escolha um.
O arquivo diz que já sabe.
Há dois papers por trás disto. The Denial Spiral classifica as defesas que se apoiam na ignorância do atacante, e mostra por que o conselho piora para todo mundo quanto mais gente o segue. The Deadly Race é o que isso te custa quando uma delas cede: uma apreensão que deixa um caminho viável porém não concluído transforma um roubo numa corrida, e precifica a sua eliminação. Os dois gratuitos, sem cadastro.
Dados de incidentes do registro de Jameson Lopp, uma amostra de imprensa: perde o que não é noticiado e super-representa o que virou manchete. Casos novos que eu encontro vão para lá, e não para uma base de dados minha, o que num texto sobre bancos de dados parece valer a pena dizer com todas as letras.
Se isso valeu seu tempo. Mande para alguém que ainda acha que silêncio é um plano. Uma ⭐ no Great Wall, na pesquisa ou nestes textos não custa nada e faz o trabalho ser encontrado. E se você quiser financiá-lo, o apoio aceita ⚡ Lightning e on-chain, sem cadastro, sem níveis e sem contrapartida nenhuma.