O site da Drael, lido de perto: pose hacker, pouco produto

A Drael se vende com vocabulário hacker: exploits, dark web, "the OSINT nobody else will run" (o OSINT que ninguém mais roda). Lemos o site e a documentação página por página. Encontramos um produto com páginas faltando, texto de exemplo esquecido, afirmações que a própria documentação contradiz e quase nada do que um profissional de segurança pediria. Na nossa opinião, é uma fantasia.

Dados coletados em 9 e 10 de novembro de 2026 no site da Drael, na documentação de ferramentas, nos termos e no llms.txt dela, e nos preços da NotHoly. Cada defeito abaixo pode ser conferido abrindo o endereço indicado. Não fizemos login, então o aplicativo atrás da tela de entrada não está coberto.

#O que a copy diz

O título é "Nothing It Won't Answer" (nada que ele não responda). O subtítulo diz "Chat, code it writes and runs, images with nothing blurred, and the OSINT nobody else will run.": chat, código que ele escreve e roda, imagens sem nada borrado e o OSINT que ninguém mais roda. A seção de código promete "the scanner, the exploit, the fix nothing else will" (o scanner, o exploit, a correção que nenhum outro escreve), e a seção de busca cobre "the clear web and Tor hidden services alike" (a web aberta e os serviços ocultos do Tor). Os três números embaixo do hero são zero respostas recusadas, um dia como plano mais barato e nenhum dado pessoal.

Nada na página fala de escopo, cliente, relatório, metodologia ou equipe. Na nossa leitura, as palavras foram emprestadas da segurança ofensiva e a oferta é dirigida a quem quer se sentir sem restrições.

#Como o site é de perto

O que encontramos	Onde
Não há página de preços. O link do menu é uma âncora, e os termos mandam para "the plan page"	drael.sh/pricing devolve 404
O plano mais barato, o passe diário, é anunciado três vezes sem preço	Home; ausente do endpoint de planos
O link público "Help" redireciona para o login	drael.sh/help
Nenhum canal para reportar vulnerabilidade	/.well-known/security.txt devolve 404
Exemplos de código chamam https://YOUR-HOST/v1 em um serviço hospedado	Quickstart e documentação de imagens
Home em nove idiomas; páginas legais em dois; documentação em um	Sitemap; /es/legal/terms devolve 404
A página de 404 mostra um menu em português em volta de uma mensagem em inglês	Qualquer página inexistente, interface em português
Documentação em inglês com vírgula decimal e ponto de milhar: "0,16", "13.218 tokens"	Documentação de limites e de ferramentas
A documentação cita arquivos internos de código-fonte	"ledger/domain/published_test.go" na página de limites
Página de status sem histórico de incidentes, só um contador "since the server last started"	drael.sh/status

A home em português tem frases que soam como tradução palavra por palavra de expressões do inglês. "Nada fora da mesa" está no lugar de "Nothing off the table". "Nossas, e alcançam a rede" está no lugar de "Ours, and they reach the net". Quem fala português não escreveria nenhuma das duas.

A documentação narra a própria história onde o cliente espera a descrição do produto: "That split did not earn its complexity and was removed", "There was, and it was removed", "What rations the scarce KV is the tier itself". O robots.txt traz recados para ninguém em particular ("AI crawlers, stated honestly rather than performatively") e se contradiz, bloqueando GPTBot e ClaudeBot em um bloco e liberando /docs para eles em outro. A tela de login em português aceita um código "do Drael antigo", e a página de ferramentas fala em "the previous product" (o produto anterior).

Não temos como saber de que forma este site foi produzido. O que esses defeitos sugerem para nós é texto e páginas gerados depressa e publicados sem que uma pessoa os lesse do começo ao fim.

#Onde a copy e a documentação discordam

O site diz	A documentação diz
Número do hero: zero respostas recusadas	provider_refused: "The image model refused this prompt"
"the OSINT nobody else will run"	"they are not what the product leads with"
"There is no AI vendor in the path"	"generate_image is cash at a provider per attempt"
"nothing you ask goes to a third party's API"	A consulta de vazamentos "sends the identifier you asked about to the lookup service"
"Priced by the month"	O mês tem quatro semanas
"the exploit, the fix"	"Nothing Drael says is legal, medical, financial or security advice"

Pode haver explicação para cada linha. Quem compra não deveria ter de conciliar uma landing page com a referência de erros do mesmo produto.

#A consulta de vazamentos é o problema jurídico

O recurso de OSINT é uma ferramenta só, breach_lookup: "An email, a username, a phone, a domain, a password. It says where an identifier has already leaked." Um e-mail, um usuário, um telefone, um domínio ou uma senha, e ela diz onde aquele identificador já vazou. Isso são dados pessoais de outras pessoas. Pela LGPD e pelo GDPR, consultá-los exige base legal, e em um trabalho para cliente a consulta precisa estar no escopo.

As páginas da Drael não oferecem nem base nem contrato. O identificador vai "to the lookup service and the databases it consults" (para o serviço de busca e as bases que ele consulta), que a página de privacidade não nomeia. Os termos proíbem usar a Drael para "stalk, threaten or expose a private person" (perseguir, ameaçar ou expor um particular) e em seguida deixam o julgamento e a responsabilidade com você. A nossa leitura dos termos trata da indenização.

#Como é o trabalho sob contrato

OSINT de verdade em um engajamento parte de um escopo escrito, como descrevem o PTES e o NIST SP 800-115, e termina em um relatório em que cada item tem fonte, horário e responsável. O comunicado do IBM Cost of a Data Breach 2026 põe o vazamento médio em US$ 4,99 milhões, e a Netskope conta 223 violações de política de dados com GenAI por organização por mês. Os clientes leem esses relatórios e perguntam para onde os dados deles foram.

A busca na dark web da NotHoly lista resultados e nunca abre um .onion. O read_url lê só páginas públicas. Nada nos nossos servidores faz scan ou consulta um alvo. É menos empolgante do que a página da Drael, e é o que permite colocar a ferramenta em um statement of work.

#Para quem cada um serve

O site da Drael vende a sensação de trabalhar sem restrição, e serve a quem quer essa sensação e um chatbot uncensored com geração de imagem. A NotHoly é feita para trabalho pago de segurança: um escopo que o tráfego respeita, um modelo com base que você consegue citar, busca na dark web que só lista resultados e um read_url que lê páginas públicas. É menos empolgante do que "the OSINT nobody else will run", e é o que você consegue colocar em um contrato.

#Perguntas frequentes

#OSINT com IA é legal?

Depende dos dados e da sua base para tratá-los. Página pública é uma coisa. Credenciais vazadas de pessoas identificadas são dados pessoais, e você precisa de base legal e, em geral, de um escopo.

#O que é uma consulta de vazamentos, e quem vê a consulta?

Uma busca por um identificador em bases de dados vazadas. Na Drael, o identificador é enviado a um serviço de busca e a bases que a página de privacidade não nomeia.

#A Drael é uma ferramenta de segurança?

Ela usa o vocabulário. Não encontramos controles de escopo, trilha de auditoria, recursos de equipe nem canal para reportar vulnerabilidade.

#O que torna uma ferramenta de IA adequada para red team?

Execução a partir dos seus próprios endereços, um modelo que você consegue nomear, logs que ficam com você e um fornecedor no contrato. Veja red team.

#A NotHoly faz OSINT?

Ela ajuda com metodologia, triagem e relatório, lê páginas públicas e lista resultados de busca na dark web. Não faz consulta de vazamentos nem toca em alvos.

#Veredito

O site da Drael vende a sensação de ser hacker e entrega um chatbot com geração de imagem, montado sobre páginas que apontam para endereços que não existem. Não achamos que ele tenha sido feito para quem vive disso, e nada do que lemos sugere que tenha sido testado por essas pessoas. O checklist está em por que profissionais não rodam engajamentos na Drael, e os preços da NotHoly começam em US$ 5.