Acabei de reassistir à história do hack do Twitter por Graham Ivan Clark e, honestamente, ainda me surpreende como um adolescente pobre da Flórida conseguiu comprometer toda a plataforma. Não com algum exploit sofisticado de zero-day ou habilidades de hacking de elite. Apenas engenharia social pura e audácia.

Então, 15 de julho de 2020 — Graham Ivan Clark e um cúmplice basicamente se passaram por suporte técnico do Twitter, ligaram para funcionários que trabalhavam de casa durante a COVID, e enviaram páginas de login falsas. Phishing clássico. Mas funcionou. Eles escalaram a hierarquia interna até encontrar uma conta de modo Deus que podia redefinir senhas de contas verificadas.

E então? Eles twittaram de Elon Musk, Obama, Bezos, Apple, Biden — todas a mesma mensagem pedindo que as pessoas enviassem Bitcoin e prometendo retornos dobrados. Sobre $110K , BTC inundou em minutos. O Twitter entrou em modo nuclear e bloqueou todas as contas verificadas globalmente pela primeira vez.

A parte mais louca? Graham Ivan Clark não era algum operante russo sombrio em um porão. Ele tinha 17 anos. De Tampa. Sem dinheiro. Mas passou anos aplicando golpes no Minecraft, hackeando YouTubers, dominando troca de SIM. Ele sabia manipular pessoas melhor do que sabia programar.

Quando o FBI o pegou duas semanas depois, ele enfrentava 210 anos de prisão. Mas ser menor de idade jogou a seu favor. Ele cumpriu 3 anos em detenção juvenil e 3 anos de liberdade condicional. Saiu aos 20 anos. Livre. Rico pelo hack. Intocável.

Mas o que realmente me impressiona — o hack verdadeiro não foi técnico. Graham Ivan Clark provou que você não precisa quebrar um sistema se puder enganar as pessoas que o operam. Medo, ganância, confiança — essas ainda são as vulnerabilidades mais exploráveis.

E agora olhe para o X sob Elon Musk. Inundado de golpes com criptomoedas todos os dias. A mesma psicologia que fez esse hack funcionar ainda está funcionando com milhões.

Se você trabalha com cripto, lembre-se disto: Nunca confie na urgência. Nunca compartilhe códigos ou credenciais. Não acredite em contas verificadas — elas são as mais fáceis de impersonar. Sempre verifique URLs antes de fazer login. As pessoas que tentam te enganar estudaram a natureza humana muito mais do que você imagina.