Em abril, apareceu em mercados da dark web um anúncio oferecendo o banco de dados do Meloncraft, um servidor multiplayer de Minecraft. O site de monitoramento de vazamentos Brinztech o apontou como um suposto vazamento de 663.726 registros. Eles pareciam vir do LiteBans, o plugin que muitos servidores usam para registrar banimentos, mutes e advertências. Para quem já tinha entrado no servidor, a preocupação não era o histórico de banimentos, e sim o que estava ao lado dele.
O que o vazamento do Meloncraft supostamente continha
Segundo o anúncio descrito pelo Brinztech, o conjunto de dados tinha nomes de usuário, endereços IP e hashes de senha no formato do AuthMe, um plugin de login comum em servidores offline, além dos registros de punições. O vazamento não foi confirmado de forma independente, e não encontramos nenhuma nota do servidor.
Se os dados forem reais, duas partes são perigosas. Endereços IP podem ser usados em tentativas de doxxing e ataques DDoS contra jogadores que hospedam em casa. Hashes de senha podem ser quebrados quando as senhas são fracas, e muitos jogadores reutilizam a mesma senha em outros servidores e às vezes no e-mail.
Fatos principais
- Meloncraft (abril de 2026): 663.726 supostos registros, incluindo nomes de usuário, IPs, hashes de senha no estilo AuthMe e logs de banimento. Surgiu em mercados da dark web e não foi confirmado de forma independente.
- O vazamento dos “18 milhões” (outubro de 2026): dois vendedores anunciaram 18 milhões e 9 milhões de registros, mas ambos usaram a mesma amostra de 1.000 registros.
- Veredito sobre o grande: o Cybernews rastreou a amostra até apenas três servidores da comunidade. Parecia dado reciclado de infostealers, não uma invasão da Mojang ou da Microsoft.
Outubro: o vazamento que não era
Seis meses depois veio uma manchete bem maior. Dois vendedores em fóruns de cibercrime anunciaram dados de jogadores de Minecraft, um falando em 18 milhões de registros e o outro em 9 milhões. Os dois anúncios traziam amostras com nomes de usuário, e-mails e alguns hashes de senha. Por um dia, parecia o maior vazamento do Minecraft em anos.
Então pesquisadores do Cybernews baixaram as amostras. Os dois vendedores tinham anexado os mesmos 1.000 registros, tirados de apenas três servidores da comunidade. Não havia carimbos de data provando que os dados eram novos, nem tokens de contas da Mojang ou logins da Microsoft, e muitos e-mails já eram conhecidos de vazamentos antigos. Os pesquisadores concluíram que aquilo batia com “combolists” de infostealers: credenciais roubadas de PCs infectados de jogadores e reempacotadas com números inflados. O site alemão PC Games Hardware chegou à mesma conclusão. Não foi uma invasão do Minecraft em si.
O que isso significou para os jogadores
As duas histórias apontam para o mesmo risco: sua conta de Minecraft raramente é perdida por uma invasão da Mojang. Ela é perdida pelo banco de dados fraco de um servidor de terceiros, ou por malware no seu próprio PC que rouba o que o navegador salvou. A solução é a mesma nos dois casos.
- Use uma senha exclusiva na sua conta Microsoft, nunca uma que você já digitou no /login ou /register de um servidor.
- Ative a verificação em duas etapas na sua conta Microsoft.
- Verifique seu e-mail no Have I Been Pwned e troque qualquer senha que aparecer.
- Se você tem um servidor, mantenha o LiteBans, o AuthMe e o banco de dados fora da internet pública, use hashing forte e atualize os plugins.
- Evite clientes piratas e mods aleatórios. É assim que os infostealers enchem essas combolists. Veja nosso guia sobre malware em mods.
