IVPN vs RiseupVPN

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

Vários campos de usabilidade não têm documentação para consultar. A divisão de túnel, os limites de dispositivos simultâneos, a política de P2P e o acesso a streaming não são abordados em nenhuma página da RiseupVPN encontrada nesta sessão, e o interruptor de emergência só é confirmado para o cliente de bandeja do ambiente de trabalho, não para Android.

A única auditoria independente é um teste de intrusão ao cliente/à infraestrutura, não uma auditoria aos registos. O relatório da SRLabs de 2025 examinou o Bitmask e o registador da ponte Menshen quanto a riscos de interceção e DPI; nunca procurou saber o que os servidores VPN retêm, pelo que V11_audit_findings é not_stated e a alegação de retenção em C01 baseia-se apenas na palavra da própria Riseup.

A apreensão de 2012 frequentemente citada contra a Riseup não envolveu dados próprios da Riseup. Agentes federais dos EUA apreenderam um servidor numa instalação de colocation que a Riseup partilhava com a May First/People Link, mas a máquina e os seus dados pertenciam a um terceiro inquilino (European Counter Network); não havia nela nenhuma conta ou dados de utilizadores da Riseup, razão pela qual P01_seizure_event aparece como none_known, em vez de atribuir à Riseup um evento que nunca foi seu para contestar.