Hackeiam bot de segurança do Discord e vazam IP, e-mail e localização de 28 milhões de usuários

Um dos bots de verificação mais usados do Discord, o Double Counter, foi invadido por hackers no início de outubro de 2026, e o resultado é um dos maiores vazamentos de dados já ligados à plataforma. O bot, usado por mais de 600 mil servidores para barrar contas alternativas (os chamados "alts"), raides e usuários de VPN, tinha em suas mãos justamente os dados mais sensíveis de quem passava por sua verificação: endereço IP, localização aproximada e impressão digital do navegador.

Arte digital une identidade Discord a cenário hacker futurista neon.

A empresa responsável, a francesa Tellter SAS, classificou o episódio como um "ataque deliberado e multifásico". O serviço foi restabelecido no mesmo dia, mas cerca de 12 GB de dados já haviam sido copiados e parte deles já circula publicamente na internet.

Como o hacker conseguiu entrar

O ponto de entrada foi um erro clássico de segurança: um servidor antigo, considerado "aposentado" pela equipe, mas que nunca foi desligado de verdade. A máquina, hospedada na OVH, ainda rodava um painel público do Metabase (ferramenta de análise de dados) com uma vulnerabilidade conhecida e não corrigida.

Ao explorar essa falha, o invasor encontrou na máquina duas credenciais de nuvem com privilégios de administrador incluindo uma chave de conta de serviço do Google Cloud. Com essas chaves em mãos, ele conseguiu acessar os sistemas em produção do Double Counter. Dentro de um container em execução, também encontrou o token do próprio bot, o que permitiu que ele se passasse pelo bot dentro do Discord.

Linha do tempo da invasão

Segundo o relatório de incidente da própria Tellter (todos os horários em UTC):

• 3 de outubro, 04h37 — O invasor começa a sondar o servidor antigo da OVH, usando VPNs com endereços rotativos.
• 4 de outubro, 00h47 — Primeiro acesso bem-sucedido pela vulnerabilidade do Metabase.
• 4 de outubro, 12h03 — A chave roubada do Google Cloud é usada pela primeira vez.
• 4 de outubro, 12h26 — O token do bot é extraído de um container em execução.
• 4 de outubro, 13h30 às 16h30 — O bot comprometido posta links de convite maliciosos em cerca de 50 grandes servidores do Discord.
• 4 de outubro, 15h09 às 15h34 — Cerca de 12 GB de tabelas do banco de dados são copiados em apenas 25 minutos.
• 4 de outubro, 17h11 — Começam as cobranças fraudulentas com uma chave da Stripe roubada.
• 4 de outubro, 17h54 — Última ação registrada do invasor.
• 4 de outubro, 19h19 — Serviço restabelecido com credenciais novas.
• 5 de outubro — Caso comunicado à autoridade francesa de proteção de dados (CNIL) e divulgado publicamente.

O invasor ficou ativo dentro dos sistemas por 5 horas e 51 minutos. Um detalhe revela o quanto a situação saiu do controle: quando a equipe trocou as credenciais do bot, o invasor obteve as novas em cerca de dois minutos.

O que vazou (e o que não vazou)

A Tellter trata como expostos os seguintes dados:

• 28 milhões de contas: IDs e nomes de usuário do Discord.
• 27 milhões de contas: endereço IP + localização aproximada (país, região, cidade, CEP e provedor de internet).
• 25 milhões de contas: hashes de user-agent (impressão digital do navegador).
• Cerca de 1 milhão de endereços de e-mail copiados por completo — sendo cerca de 840 mil de contas do Doogle e 240 mil de usuários do painel, clientes e anunciantes.

Importante: esses conjuntos de dados se sobrepõem uma mesma pessoa pode aparecer em várias categorias, então o número real de indivíduos afetados é menor do que a soma desses números. O invasor não conseguiu copiar todos os registros de IP antes de ser cortado, mas como a empresa não sabe quais exatamente vazaram, prefere tratar todos como expostos.

Uma parcela dos dados já foi publicada na internet: um conjunto com cerca de 274,9 mil e-mails únicos acompanhados de nomes de usuário do Discord já circula livremente e foi adicionado ao site Have I Been Pwned no dia 7 de outubro.

Do lado bom, senhas do Discord não foram vazadas o bot nunca as recebe, pois o login acontece no lado da própria plataforma. Também não foram expostos números de cartão, logs de detecção de VPN, o banco de impressões comportamentais nem o banco de armazenamento frio.

Além dos dados, o invasor roubou uma chave da Stripe de um produto separado da mesma equipe (o Atis) e realizou cerca de US$ 7.316 em cobranças fraudulentas. Duas dessas cobranças foram em clientes (de US$ 3 e US$ 15) e já foram estornadas.

O perigo real não é a senha é o phishing

Sem senhas no pacote, você pode achar que o risco é baixo. Não é. A combinação de e-mail + nome de usuário do Discord + cidade + provedor de internet é matéria-prima perfeita para golpes de engenharia social altamente convincentes.

Os atacantes podem mandar mensagens ou e-mails fingindo ser a própria Discord, o Double Counter ou um servidor que você frequenta, pedindo para você "verificar novamente a conta", "restaurar acesso", "confirmar dados" ou "resgatar um Nitro". Como a mensagem vem com dados reais seus, a chance de você cair é muito maior.

E tem um agravante: como o token do bot foi roubado, os links maliciosos foram postos por um bot que as pessoas já conhecem e confiam. Uma mensagem de um bot de segurança do servidor parece muito mais legítima do que um DM de um desconhecido.

Nunca digite sua senha do Discord em sites abertos por meio de mensagens de "verificação" inesperadas. Nunca baixe programas para "completar verificação" e nunca compartilhe códigos de autenticação com ninguém.

O que a Discord fez

A Discord foi rápida em esclarecer: a plataforma em si não foi invadida. Em nota, a empresa disse estar ciente do incidente envolvendo um aplicativo terceiro e, enquanto investiga, desabilitou novas instalações do Double Counter. Quem já tinha o bot no servidor continua com ele a medida só impede que novos servidores adicionem a ferramenta.

O que o Double Counter mudou depois da invasão

A Tellter afirma ter tomado várias medidas de correção:

• Removeu chaves de conta de serviço de longa duração.
• Moveu tokens do bot e webhooks para um cofre de segredos dedicado, com log de acesso e alertas de mudanças sensíveis.
• Tirou o banco de cache da internet e o colocou em uma rede privada.
• Trocou todas as chaves de assinatura (o que derrubou todos os usuários das sessões ativas).
• Auditou 14 projetos na nuvem e não encontrou acesso remanescente do invasor.

A empresa comunicou o caso à CNIL (autoridade francesa de dados) no dia 5 de outubro, dentro da janela de 72 horas exigida pelo GDPR, sob a referência FR2610050000001, e também registrou uma denúncia criminal.

O que você deve fazer agora

Se você já clicou em um link de verificação do Double Counter em algum servidor do Discord, assuma que seus dados foram expostos e tome estas precauções:

• Ative a autenticação de dois fatores (2FA) na sua conta do Discord, de preferência com chave de acesso (passkey) ou aplicativo autenticador — evite SMS.
• Desconfie de toda mensagem de "verificação", "restauração de conta" ou oferta de Nitro recebida por DM ou e-mail, mesmo que mencione servidores ou dados reais seus.
• Se seu provedor dá IP dinâmico, reinicie o roteador para obter um novo endereço IP e tornar o vazado obsoleto.
• Considere usar VPN em servidores públicos grandes, para que seu IP real não pare em logs de bots de verificação no futuro.
• Se você tinha conta no Doogle ou no painel do Double Counter, troque a senha do e-mail vinculado.
• Verifique se seu e-mail aparece no Have I Been Pwned.

O que administradores de servidor devem fazer

• Apaguem qualquer mensagem postada pelo Double Counter no dia 4 de outubro entre 12h e 16h30 (UTC) que convide membros para outro servidor.
• Abram o log de auditoria e verifiquem mudanças de permissão não autorizadas nessa janela de tempo.
• Revisem periodicamente os bots instalados e as permissões concedidas a cada um; removam o que não estiver em uso.
• Avaliêm se vale a pena manter o bot, pesando a necessidade de detecção de alts contra o fato de que toda verificação envia o IP dos membros para uma empresa terceira.

A lição que fica

Este caso é quase irônico: um bot construído para proteger comunidades se tornou o elo mais fraco da segurança de centenas de milhares de servidores. A raiz do problema não foi um ataque supersofisticado foi um servidor esquecido, ligado à internet, com um software desatualizado e credenciais de administrador ainda válidas. "Aposentado" nunca significou "inacessível".

Para o ecossistema de bots do Discord, o recado fica: a plataforma revisa apps antes de entrarem na loja, mas não pode controlar a segurança do backend de cada desenvolvedor meses depois. Cabe a cada dono de servidor perguntar quem está por trás do bot, quais dados ele guarda e por quanto tempo e cabe a cada usuário lembrar que, ao clicar em um link de verificação, está entregando seu IP a um terceiro.

Fontes: Relatório oficial de incidente da Tellter/Double Counter; TalkEsport; SHAttered; Undercode News; Frandroid; comunicado oficial da Discord; Have I Been Pwned.