Coinrail apagou sua cláusula de indenização dez dias antes de perder um terço de suas moedas

Nas primeiras horas de 10 de junho de 2018, atacantes drenaram cerca de 3,6 bilhões de tokens de nove tipos — Pundi X, NPER, Aston, TRON, Storm e outros — da carteira quente da Coinrail em uma varredura de 40 minutos. O butim valia cerca de ₩40 bilhões (aproximadamente US$ 37 milhões), cerca de 30% de tudo o que a pequena exchange de Seul detinha, tornando-se o maior roubo de criptomoedas de uma exchange na Coreia até aquela data. A notícia derrubou o bitcoin em cerca de 7% e apagou aproximadamente US$ 30 bilhões em valor de mercado de criptomoedas em poucas horas.

A invasão ocorreu dez dias depois de a Coinrail ter reescrito seus termos. Em abril de 2018, a Comissão de Comércio Justo da Coreia (Fair Trade Commission) analisou os termos de doze exchanges, encontrou quatorze tipos de cláusulas abusivas — principalmente isenções genéricas que transferiam perdas por hacking aos clientes — e ordenou correções. As concorrentes reescreveram suas cláusulas de indenização em maio; a Coinrail, em vez disso, excluiu pura e simplesmente o Artigo 20(4), a disposição de indenização por danos, em 31 de maio, mantendo apenas a cláusula que preservava as próprias pretensões da empresa contra os membros. A FTC observou que a exclusão não apaga a responsabilidade: o direito civil exige indenização em dinheiro.

As negociações ficaram paradas por mais de um mês. O primeiro comunicado da exchange dizia que 70% dos ativos estavam seguros em armazenamento frio, que dois terços dos tokens roubados haviam sido congelados junto aos emissores e às exchanges parceiras, e que o roubo envolvia tokens menos conhecidos, e não bitcoin. Quando o serviço foi retomado na noite de 15 de julho, seu próprio aviso de recuperação contava outra história: 34,8% do bitcoin dos usuários ainda estava irrecuperado, ao lado de TRX 33,1%, KNC 29,9%, STORM 56,1%, NPXS 84,2%, ATX 42,9% e NPER 89,4%.

O plano de recuperação deu aos usuários duas opções: esperar que a exchange recomprasse os tokens irrecuperados com lucros operacionais futuros, ou trocar os saldos por RAIL, o token da própria Coinrail, a uma taxa fixa de 1 RAIL = ₩0,72. Os investidores rejeitaram ambas por terem valor incerto e apresentaram queixas-crime por apropriação indébita contra o CEO Nam Kyung-sik; em 5 de julho de 2018, a polícia de Gangnam encaminhou o caso à equipe de crimes econômicos do Ministério Público Central de Seul, que precisava da escala real das perdas para prosseguir.

~US$ 37 milhões (₩40 bilhões) em tokens perdidos — incluindo 34,8% do bitcoin dos usuários irrecuperado; negociações paradas por cinco semanas enquanto os mercados caíam

Dois terços dos ativos da exchange estavam em uma carteira quente conectada à internet, de modo que 30% de tudo o que os usuários possuíam ficou exposto a uma única intrusão que durou quarenta minutos.

A resposta de conformidade à ordem da FTC foi a exclusão, e não o reparo — a cláusula que teria ancorado as pretensões de indenização dos clientes foi justamente a que se removeu.

A divulgação inicial minimizou a perda: "bitcoin intacto" tornou-se "34,8% do bitcoin irrecuperado" apenas quando o serviço foi retomado cinco semanas depois.

A indenização foi denominada no próprio token da empresa falida e em seus lucros futuros — instrumentos cujo valor dependia inteiramente da entidade que acabara de falhar em proteger os ativos.

Excluir a cláusula que prometia indenização aos clientes não apaga a obrigação — e uma exchange que mantém um terço dos ativos dos clientes em uma carteira quente assume toda perda que daí decorrer.

Os saques reabriram em 15 de julho de 2018 apenas para as moedas recuperadas; o restante dos saldos dos usuários foi automaticamente direcionado às opções de recompra ou RAIL. Uma queixa-crime por apropriação indébita contra o CEO Nam Kyung-sik chegou ao Ministério Público de Seul em 5 de julho de 2018, com o tamanho da perda ainda a ser verificado. A posição da Comissão de Comércio Justo ficou registrada: excluir uma cláusula não isenta uma exchange de pagar indenização em dinheiro. Em poucos meses, a Coreia passou a exigir contas de negociação em nome real e certificação de segurança para exchanges, fechando a lacuna regulatória que este hack expôs.