Acabei de rever a história do ataque ao Twitter por Graham Ivan Clark e, honestamente, ainda me surpreende como um adolescente sem dinheiro da Flórida conseguiu comprometer toda a plataforma. Não com algum exploit sofisticado de zero-day ou habilidades de hacking de elite. Apenas engenharia social pura e audácia.

Então, 15 de julho de 2020 — Graham Ivan Clark e um cúmplice basicamente se passaram por suporte técnico do Twitter, ligaram para funcionários que trabalhavam de casa durante a COVID, e enviaram páginas de login falsas. Phishing clássico. Mas funcionou. Eles subiram na hierarquia interna até encontrarem uma conta de modo Deus que podia redefinir senhas de contas verificadas.

E depois? Eles twitaram de Elon Musk, Obama, Bezos, Apple, Biden — todas a mesma mensagem pedindo às pessoas que enviassem Bitcoin e prometendo retornos duplos. Sobre $110K , BTC inundou em minutos. O Twitter ficou nuclear e bloqueou todas as contas verificadas globalmente pela primeira vez.

A parte mais louca? Graham Ivan Clark não era algum operante russo sombrio num porão. Ele tinha 17 anos. De Tampa. Sem dinheiro. Mas tinha passado anos aplicando golpes no Minecraft, hackeando YouTubers, dominando troca de SIM. Ele sabia manipular pessoas melhor do que sabia programar.

Quando o FBI o pegou duas semanas depois, ele enfrentava 210 anos de prisão. Mas ser menor de idade jogou a seu favor. Cumpriu 3 anos em detenção juvenil e 3 anos de liberdade condicional. Saiu aos 20 anos. Livre. Rico com o hack. Intocável.

Mas o que realmente me impressiona — o verdadeiro hack não foi técnico. Graham Ivan Clark provou que você não precisa quebrar um sistema se puder enganar as pessoas que o operam. Medo, ganância, confiança — essas ainda são as vulnerabilidades mais exploráveis.

E agora olhe para o X sob Elon Musk. Inundado de golpes com criptomoedas todos os dias. A mesma psicologia que fez esse hack funcionar ainda funciona em milhões.

Se você está no crypto, lembre-se disto: Nunca confie na urgência. Nunca compartilhe códigos ou credenciais. Não acredite em contas verificadas — elas são as mais fáceis de impersonar. Sempre verifique URLs antes de fazer login. As pessoas que tentam te enganar estudaram a natureza humana muito mais do que você imagina.