A Apple fornecerá aos governos backups de chaves privadas de Bitcoin através de uma porta dos fundos do iCloud de US$ 80 milhões?

O Reino Unido está considerando medidas que podem obrigar a Apple a fornecer acesso a alguns dados do iCloud, levantando uma questão precisa para usuários de criptoativos que mantêm carteiras em iPhones e Macs.

Se os backups de dispositivos e os armazenamentos de arquivos comuns perderem proteções de ponta a ponta no Reino Unido, frases-semente e materiais de chave privada podem se mover mais facilmente do dispositivo do usuário para locais onde processos legais, ou um Technical Capability Notice, possam alcançá-los.

As autoridades do Reino Unido emitiram um novo Technical Capability Notice para a Apple, focado no acesso ao iCloud para contas do Reino Unido. A Apple não comentou sobre essa ordem.

O Home Office não comentou sobre notificações individuais, que são secretas por design. Em fevereiro, a Apple retirou o Advanced Data Protection para usuários do Reino Unido, uma configuração que, de outra forma, estende a criptografia de ponta a ponta para categorias como backups de dispositivos, iCloud Drive, Fotos e Notas.

O iCloud Keychain permanece criptografado de ponta a ponta por padrão, e a Apple afirma que nunca construiu uma backdoor para seus produtos.

Essa divisão é importante porque carteiras de criptoativos não vivem apenas dentro do iCloud Keychain.

Usuários frequentemente produzem capturas de tela de frases-semente e as armazenam em Fotos, anotam palavras de recuperação em Notas ou deixam dados de aplicativos de carteira dentro de um backup do dispositivo. Quando o Advanced Data Protection não está disponível, essas categorias retornam para chaves mantidas pela Apple, que podem ser descriptografadas após autenticação ou sob ordem legal.

A mudança no Reino Unido não afeta o iCloud Keychain; no entanto, o conteúdo fora do Keychain é afetado. Casos históricos mostram perdas reais quando cofres de carteiras gravados em backups do iCloud foram alvo de phishing e drenados, incluindo incidentes ligados a alertas do MetaMask.

A Apple detalha como a proteção de backup funciona em sua visão geral de segurança do iCloud Backup e descreve as proteções do Keychain. A página mais ampla do Advanced Data Protection descreve quais categorias recebem criptografia de ponta a ponta quando o recurso está disponível.

O momento da política cria uma janela de curto prazo em que o risco para carteiras muda sem alterar os protocolos do Bitcoin ou Ethereum. Os códigos de prática do Online Safety Act permitem que a Ofcom proponha e credencie medidas tecnológicas, incluindo abordagens de varredura no lado do cliente, e supervisione como os serviços cumprem as regras.

Consultas durante 2025 cobriram medidas adicionais de segurança e possíveis notificações tecnológicas. Embora os detalhes de qualquer novo mandato do Reino Unido permaneçam confidenciais até serem implementados, a direção regulatória é clara o suficiente para que usuários e desenvolvedores atualizem seus modelos de ameaça agora.

Uma maneira direta de dimensionar a exposição é estimar o grupo de usuários de iPhone no Reino Unido cujo conteúdo depende de chaves mantidas pela Apple. Usando a estimativa populacional de meados de 2024 do Office for National Statistics de cerca de 69,3 milhões, uma faixa de penetração de smartphones de 90 a 95 por cento extraída do DataReportal e contexto da Ofcom, uma participação de iOS de 45 a 55 por cento, e uma suposição de que 60 a 75 por cento dos usuários de iPhone ativam armazenamento ou backups no iCloud, o grupo endereçável fica na casa das dezenas de milhões.

Os intervalos abaixo são ilustrativos e devem ser apresentados como intervalos, não como uma previsão pontual.

Input Low High Source

População do Reino Unido (meados de 2024)	69,3m	69,3m	Office for National Statistics
Penetração de smartphones	90%	95%	DataReportal
Participação do iOS entre smartphones	45%	55%	AP News market context
Participação com backup/armazenamento iCloud ativado	60%	75%	MacRumors
Usuários de iPhone implícitos	~28m a ~36m
Usuários que dependem de backup/armazenamento iCloud	~17m a ~27m

Esses usuários não estão todos em risco de perda de carteira; no entanto, o grupo dimensiona a magnitude do risco se chaves mantidas pela Apple e um caminho de acesso exclusivo do Reino Unido coexistirem.

Um teste de estresse ajuda a ancorar a discussão.

Se de 1 a 3 pontos-base desse grupo fossem comprometidos ao longo de um ano por meio de uma combinação de abuso de acesso legal, engenharia social após divulgação de dados ou ataques direcionados de recuperação de conta que têm sucesso porque mais conteúdo é descriptografável, a contagem ficaria entre aproximadamente 1.700 e 8.000 usuários.

Com saldos medianos de hot-wallet em uma faixa conservadora de US$ 2.000 a US$ 10.000, as perdas diretas poderiam totalizar de US$ 3 milhões a US$ 80 milhões. A matemática não argumenta pela inevitabilidade, mas esclarece a ordem de grandeza e como os incentivos mudam se backups e armazenamentos comuns de arquivos não forem criptografados de ponta a ponta.

O canal pelo qual as chaves vazam é tão significativo quanto a questão da política.

O iCloud Keychain permanece criptografado de ponta a ponta, então senhas e passkeys armazenadas lá não são um ponto fraco. Os pontos fracos aparecem onde os usuários escolhem conveniência em vez de compartimentalização. Fotos e Notas, sem Advanced Data Protection, são descriptografáveis pela Apple.

Dados de aplicativos deixados no iCloud Backup são descriptografáveis pela Apple. Recursos opcionais de backup em nuvem embutidos em algumas carteiras, incluindo a documentação da Coinbase Wallet, que descreve um backup de frase de recuperação opt-in, dependem da força da senha do usuário e da implementação do provedor, e herdam qualquer mudança na superfície de ameaça da nuvem ao redor.

De acordo com os materiais da Apple, segredos devem residir no Secure Enclave com controle de acesso apropriado, e desenvolvedores podem marcar arquivos para excluí-los do iCloud Backup.

Três cenários ajudam a esclarecer como os próximos 12 a 18 meses podem se desenrolar.

Primeiro, uma exceção exclusiva do Reino Unido persiste, com a Apple mantendo chaves sob sua posse para backups e armazenamentos comuns e ajustando processos internos para atender a qualquer notificação renovada. O risco para carteiras de usuários de varejo permanece elevado onde sementes se cruzam com esses armazenamentos.

Segundo, o Advanced Data Protection retorna ao Reino Unido, seja após reversões legais ou políticas, e o risco retorna ao padrão global de phishing, roubo de dispositivos e infostealers comuns.

Terceiro, a varredura no lado do cliente credenciada pela Ofcom se expande no dispositivo antes da criptografia, enquadrada como uma medida que evita a custódia formal de chaves. Esse debate reflete a discussão em andamento da União Europeia sobre varredura de chats.

Esse caminho ainda aumenta a superfície de ataque, já que novos caminhos de código de varredura e APIs de revisão se tornam alvos, e normaliza a inspeção do conteúdo do dispositivo que antes permanecia opaco ao serviço.

Desenvolvedores têm um conjunto restrito de controles que reduzem a exposição independentemente da política.

Os passos práticos são manter material de sementes fora de qualquer armazenamento sincronizado na nuvem, marcar segredos e cofres com atributos de não fazer backup, confiar no Secure Enclave para proteção de chaves e exigir configurações de derivação de chave de alto custo para quaisquer recursos opcionais de backup em nuvem, de modo que senhas fracas sejam rejeitadas.

Usuários têm um caminho paralelo: mover o armazenamento de sementes para fora do dispositivo e totalmente fora da nuvem, evitar capturas de tela e notas para palavras de recuperação, e reforçar a recuperação do Apple ID e a autenticação de dois fatores, já que a tomada de conta se torna mais valiosa quando mais dados na nuvem são descriptografáveis.

De acordo com a orientação da Coinbase Wallet, o backup em nuvem é opt-in e criptografado com uma senha escolhida pelo usuário, o que coloca a responsabilidade na qualidade da senha se o usuário optar pelo recurso.

O contexto mais amplo do mercado ajuda a explicar por que uma mudança de política no Reino Unido repercute fora do Reino Unido.

Apple e Google controlam a pilha móvel para quase todos os usuários, então uma exceção jurisdicional aplicada a uma grande plataforma cria tanto um caminho de código quanto um precedente.

O Assistance and Access Act da Austrália e a Seção 69 da Índia mostram como ordens direcionadas ganham escopo ao longo do tempo. O debate da União Europeia sobre varredura no lado do cliente, frequentemente rotulado como controle de chat, mostra a luta para conciliar objetivos de segurança com criptografia de ponta a ponta.

Mesmo que uma notificação do Reino Unido vincule apenas contas do Reino Unido, qualquer engenharia para contornar a criptografia em um lugar aumenta a pressão para replicar o resultado em outros lugares e convida adversários a estudar o novo caminho.

A posição pública da Apple permanece a de que não constrói backdoors, e sua documentação lista categorias de dados que permanecem criptografadas de ponta a ponta.

Segundo declarações da Apple, iMessage e FaceTime continuam a usar criptografia de ponta a ponta, e o iCloud Keychain continua protegendo segredos em repouso.

A questão para usuários de criptoativos não é se a Apple vai desligar a criptografia de ponta a ponta em todos os lugares, mas se categorias de armazenamento comumente usadas que ficam fora do Keychain, e os processos legais que as regem, criam um caminho prático para comprometimento de carteiras caso sementes ou material de chave toquem esses locais.

Os fatos de curto prazo são diretos.

O Reino Unido renovou uma ordem secreta buscando acesso a dados do iCloud para usuários do Reino Unido. A Apple retirou o Advanced Data Protection para novos usuários do Reino Unido em fevereiro.

A Apple detalhou quais categorias permanecem criptografadas de ponta a ponta em seu aviso de suporte do Reino Unido e na documentação do Advanced Data Protection.

A Ofcom ainda está refinando como o Online Safety Act será aplicado e como medidas tecnológicas proativas serão credenciadas e aplicadas.

Esses fatos são suficientes para construir modelos de ameaça claros e quantificar os intervalos de exposição.

O que acontece a seguir depende de o Reino Unido exigir métodos que contornem a criptografia ou restaurar a cobertura de ponta a ponta para backups, Fotos, Notas e outros armazenamentos de alto impacto.

O post Will Apple give governments Bitcoin private key backups via $80M iCloud backdoor? apareceu primeiro em CryptoSlate.