IVPN vs Mullvad VPN

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

Porque é que a contagem é oito. A contagem de auditorias é oito porque a análise ao GotaTun fica fora da própria lista do repositório da aplicação. Antes disso, uma análise X41 D-Sec de 30 dias-pessoa em todas as cinco plataformas encontrou seis vulnerabilidades — três elevadas, duas médias, uma baixa, nenhuma crítica.

O que nenhum trabalho cobre. O que nenhum destes trabalhos cobre é a frota de servidores: todos examinam a aplicação ou o protocolo do túnel, razão pela qual a cobertura da frota é registada como não aplicável, e não como uma amostra. A alegação de ausência de registos no lado da infraestrutura assenta, portanto, no mandado de busca de abril de 2023 — a polícia sueca foi buscar dados de clientes e saiu sem eles — e não em qualquer auditoria.

Compilações reproduzíveis, apenas no Android. As compilações reproduzíveis existem apenas no Android, a partir da versão 2025.2, pelo que o campo permanece parcial; as compilações para computador e iOS não são verificáveis bit a bit. A Turquia é o único país sujeito a mandato na lista disponibilizada e o alojamento associado não está comprovado.

Nada publicado sobre pedidos. Nada no registo assenta em algo que o fornecedor publique sobre os pedidos que recebe: não existe um relatório de transparência nem um canário de mandado, pelo que a apreensão de abril de 2023 constitui a única base para esse fundamento. A cobertura do interruptor de emergência e a política de P2P não estão comprovadas; a auditoria mais recente é uma revisão de código do protocolo, não um trabalho sobre ausência de registos, pelo que V11 permanece silencioso e a retenção assenta na declaração.