IVPN vs Proton VPN

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

O recurso e o que não resolve. O recurso de 22 de outubro de 2021 é citado aqui com uma ressalva que vale a pena declarar claramente: o Federal Administrative Court decidiu que os serviços de email não são fornecedores de telecomunicações, e nem a cobertura da decisão nem o próprio relato da Proton mencionam a VPN.

O que efetivamente decide os dois campos. O que decide C10 e C11 é o facto de a Suíça não ter uma base de mandato na própria lista de países do catálogo; o recurso corrobora a forma como as autoridades suíças tratam a Proton e não constitui, por si só, uma conclusão sobre a Proton VPN. Uma decisão sobre um serviço irmão é uma base mais frágil do que a citação faz parecer.

O maior item em aberto. A Proton oferece localizações de saída em oito países que impõem um mandato de retenção. Não está comprovado que exista hardware efetivamente em algum deles: a Proton retirou os servidores físicos da Índia em 2022 e documenta o Smart Routing para localizações que serve a partir de outro lugar, o que aponta para localizações virtuais, mas isso só foi verificado para a Índia. Estabelecer C09b_mandate_hosting é o maior item em aberto neste registo.