Kaito Pulse vira código aberto após reação contra rastreamento no X

O contexto do lançamento ainda incluía a liberação programada de 32,6 milhões de tokens KAITO em 20 de agosto. O volume foi reportado como equivalente a 7,63% da oferta em circulação.

Como a verificação por zkTLS deveria funcionar

A Kaito afirmou que o Pulse usa zero-knowledge TLS, ou zkTLS, para realizar verificações no navegador. A promessa básica da tecnologia é permitir que alguém prove uma declaração específica obtida em um site de terceiros sem entregar à Kaito uma cópia completa dos dados daquela conta.

De acordo com a resposta da empresa, o usuário precisa iniciar ativamente cada verificação. O navegador gera uma prova criptografada, e a Kaito recebe a prova ou atestação resultante — não o conjunto completo de dados da conta nem o histórico geral de navegação.

Essa distinção ganhou importância depois que os primeiros relatos mencionaram serviços como ChatGPT, Claude e Binance. Reportagens posteriores esclareceram que esses sites eram acessados durante um fluxo de verificação iniciado pelo próprio usuário, e não como evidência de que o Pulse coletava continuamente seus dados em segundo plano. O resultado retido, segundo os relatos, era a atestação gerada pela verificação.

Assim, o zkTLS respondia a uma parte da questão de privacidade: quanto das informações originais é revelado quando uma declaração fora da plataforma é comprovada. Mas a tecnologia, por si só, não esclarecia tudo o que a extensão poderia observar localmente nem como identificadores e dados de uso poderiam ser associados.

O que a análise do código alegou

Em 18 de agosto, o analista 0x_ultra afirmou que sua análise do código-fonte do Pulse havia identificado diferentes formas de coleta de dados. A alegação mais destacada envolvia uma impressão digital do dispositivo criada a partir de vários sinais, incluindo a forma como a GPU renderizava uma imagem invisível, o modelo do dispositivo ou do hardware e a maneira como o equipamento processava um tom de teste. Segundo a análise, o identificador resultante poderia ser associado a uma conta do X.

A análise também alegou o monitoramento detalhado da atividade dentro do X, incluindo:

• Publicações ou conteúdos exibidos ao usuário;
• Tempo de rolagem ou permanência em determinados conteúdos;
• Cliques e outras interações;
• Pesquisas e favoritos;
• Pacotes periódicos de atividade, ou “heartbeats”, enviados aproximadamente a cada 30 segundos.

Esses pontos devem ser tratados como alegações baseadas na inspeção do código e em reportagens posteriores — não como uma conclusão independente e definitiva de que a Kaito usou os dados de forma indevida. A questão central era o alcance e a possibilidade de associação dessas informações: um identificador no nível do dispositivo combinado com dados comportamentais pode formar um perfil muito mais detalhado do que uma prova pontual de uma posição de trading.

Como a Kaito respondeu

Yu Hu afirmou que a impressão digital do dispositivo tinha finalidade antifraude e antiabuso, como limitar cliques fraudulentos e atividades de bots ou contas falsas — conhecidas no setor de cripto como ataques Sybil —, e não analytics ou criação de perfis de usuários. Ele também disse que a coleta de exposição a conteúdos, tempo de permanência e interações no X era autorizada no momento da instalação da extensão.

A Kaito afirmou ainda que a atividade de navegação em sites externos ao X não era enviada à empresa, exceto quando o usuário iniciava ativamente uma verificação compatível. A resposta também declarou que o Pulse não capturava telas, senhas ou teclas digitadas.

Outro ponto de atrito envolveu a linguagem das permissões do Chrome. Alguns usuários visualizaram uma permissão indicando que a extensão poderia ler e modificar dados em diferentes sites. A Kaito disse que essa descrição era mais ampla do que o uso pretendido pelo produto e prometeu corrigir a exibição das permissões em uma versão posterior.

O que mudou até 21 de agosto

O resultado imediato foi uma concessão de transparência. A Kaito informou que havia tornado o Pulse um projeto de código aberto, com a ajuda do analista envolvido na revisão, e enviado uma versão atualizada para a Chrome Web Store. Naquele momento, o novo envio ainda passava pelo processo de análise de rotina e não havia sido confirmado como aprovado.

A sequência — do lançamento em 18 de agosto à exposição pública, à resposta de 19 de agosto e à publicação do repositório até 21 de agosto — deu à controvérsia um desfecho concreto. Usuários e revisores externos passaram a poder inspecionar a implementação, em vez de depender apenas das descrições do produto ou das mensagens exibidas nas permissões do navegador.

A lição mais ampla sobre privacidade

O caso do Pulse mostra por que as declarações de privacidade de extensões de navegador precisam ser avaliadas em camadas.

A primeira é a camada da prova. O zkTLS pode reduzir a quantidade de dados originais de uma conta que é revelada quando o usuário verifica uma declaração específica.

A segunda é a camada da coleta. Dependendo das permissões e da implementação, uma extensão também pode observar a atividade nos sites em que funciona. A Kaito reconheceu a coleta autorizada de dados de interação no X e defendeu separadamente a impressão digital do dispositivo como medida contra abusos.

A terceira é a camada da associação. Mesmo que um serviço receba apenas uma atestação de uma conta de terceiros, as preocupações de privacidade continuam se sinais do dispositivo, identidades de contas e dados comportamentais puderem ser conectados. Essa foi a principal tensão levantada pela análise.

O lançamento do Pulse não provou que zkTLS e privacidade sejam incompatíveis. A conclusão é mais específica: proteger o conteúdo de uma declaração verificada não equivale a minimizar todos os dados coletados pelo cliente que gera essa prova. A pressão da comunidade trouxe essa diferença para o centro do debate — e, em poucos dias, levou a Kaito a tornar o código publicamente auditável.