IVPN vs Windscribe

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

Por que razão a retenção é pontuada com base na constatação. A retenção é, portanto, pontuada com base no que um auditor demonstrou estar acessível, e não no que a política declara, e o canal de integridade transporta a diferença entre os dois. Leia-se isto como uma constatação de há dois anos num nó, não como uma medição atual: o âmbito abrangia apenas ca-023.windscribe.com, e uma auditoria mais recente que abrangesse uma parte maior da frota é o que a resolveria.

A lista que nunca foi lida. A lista de países disponibilizada nunca foi lida, pelo que nem a pontuação de usabilidade dos países nem a interseção do mandato podem ser calculadas — Windscribe publica uma distinção entre físico e virtual, o que torna C09b respondível aqui assim que a lista o for. A escala de utilizadores também não está comprovada, deixando o escalão de exposição assente em menos do que deveria.

De onde os três eventos agora citam. AIN.UA ainda apresenta os servidores ucranianos apreendidos em 24 de junho de 2021, e o próprio blogue da Windscribe apresenta o caso grego arquivado em 11 de abril de 2025. A apreensão neerlandesa e o próprio campo de apreensão citam agora a própria página de no-logs da Windscribe, em vez da imprensa paga por afiliados que a noticiou primeiro: o relato de uma empresa sobre a sua própria apreensão é uma fonte primária, não o relato de outra pessoa sobre uma. O evento ucraniano é datado da própria apreensão, não do texto que a relata.