Criptomoedas

Ilya Lichtenstein, condenado por lavagem de dinheiro em conexão com o hack da exchange de criptomoedas Bitfinex em 2016, anunciou sua liberação antecipada. Em uma postagem nas redes sociais, ele atribuiu sua soltura ao First Step Act, uma legislação dos EUA que visa reformar o sistema de justiça criminal. Lichtenstein e sua esposa, Heather Morgan, foram presos em 2022 e se declararam culpados em 2023, após um ataque que resultou na transferência fraudulenta de 119.754 bitcoins, avaliados em cerca de 71 milhões de dólares na época. As autoridades recuperaram aproximadamente 94.000 bitcoins, totalizando cerca de 3,6 bilhões de dólares em 2022, tornando-se uma das maiores apreensões da história dos EUA. O ataque foi facilitado por uma vulnerabilidade no sistema de múltiplas assinaturas da Bitfinex, permitindo que Lichtenstein realizasse transações sem a aprovação necessária. O caso destaca a importância da segurança em exchanges de criptomoedas e a necessidade de vigilância contínua contra fraudes e ataques cibernéticos.

A Trust Wallet, serviço de carteira de criptomoedas, está alertando seus usuários para atualizarem a extensão do Google Chrome após um incidente de segurança que resultou na perda de aproximadamente US$ 7 milhões. O problema afeta a versão 2.68 da extensão, que possui cerca de um milhão de usuários. A empresa recomenda a atualização imediata para a versão 2.69. O ataque, conforme relatado pela SlowMist, introduziu um código malicioso que acessava as carteiras armazenadas na extensão e solicitava a frase mnemônica de cada uma. Essa informação era então enviada para um servidor controlado pelo atacante. Até o momento, cerca de US$ 3 milhões em Bitcoin, US$ 431 em Solana e mais de US$ 3 milhões em Ethereum foram drenados. A Trust Wallet afirmou que está trabalhando para reembolsar todos os usuários afetados e pediu que os usuários evitem interagir com mensagens que não venham de seus canais oficiais. A possibilidade de que o ataque tenha sido realizado por um ator de estado-nação foi levantada, e o cofundador da Binance, Changpeng Zhao, sugeriu que o ataque pode ter sido realizado por um insider.

Um novo relatório da TRM Labs revela que os backups criptografados roubados do LastPass, durante um ataque em 2022, estão sendo explorados por criminosos cibernéticos, especialmente associados à Rússia. Esses atacantes têm conseguido decifrar cofres de usuários que utilizam senhas mestras fracas, resultando em perdas significativas de ativos em criptomoedas até o final de 2025. A análise da TRM Labs indica que mais de 35 milhões de dólares em ativos digitais foram desviados, com 28 milhões convertidos em Bitcoin e lavados através da Wasabi Wallet. O LastPass foi multado em 1,6 milhão de dólares pelo Escritório do Comissário de Informação do Reino Unido por não implementar medidas de segurança adequadas. O relatório destaca que a falta de atualização de senhas e a segurança inadequada dos cofres permitiram que os atacantes continuassem a explorar vulnerabilidades por anos. As transações foram rastreadas através de exchanges russas, como Cryptex, que já foram sancionadas por atividades ilícitas. Essa situação evidencia como um único incidente de segurança pode se transformar em uma campanha de roubo prolongada, ressaltando a importância de medidas de segurança robustas e da conscientização dos usuários sobre a proteção de suas informações.

Um levantamento realizado pelo site Chainalysis revelou que hackers da Coreia do Norte foram responsáveis pelo roubo de R$ 11,21 bilhões em criptomoedas em 2025, o que representa cerca de 60% do total global de R$ 18,86 bilhões subtraídos neste ano. Desde o início dos registros de roubo de criptomoedas, o país já acumulou R$ 37,45 bilhões em ativos digitais roubados. O ataque mais significativo do ano ocorreu na plataforma ByBit, onde R$ 8,32 bilhões foram desviados, correspondendo a 75% do total roubado pela Coreia do Norte em 2025. Os hackers utilizam diversas táticas, incluindo a infiltração em empresas estrangeiras como profissionais de TI e a publicação de ofertas de emprego falsas para disseminar malwares. Apesar de uma queda no número total de ataques, os valores roubados por incidente aumentaram em 51%, indicando que os hackers estão se concentrando em alvos mais vulneráveis, como corretores e carteiras pessoais. A crescente sofisticação das técnicas de ataque e a adaptação às medidas de segurança implementadas nas plataformas de criptomoedas são preocupantes para o setor de cibersegurança.

Pesquisadores de cibersegurança alertaram sobre o surgimento do malware SantaStealer, que opera sob um modelo de malware como serviço. Este novo software malicioso, uma versão rebranded do BluelineStealer, é acessível a cibercriminosos de baixo nível por meio de assinaturas mensais que variam de $175 a $300. SantaStealer possui quatorze módulos distintos que coletam dados simultaneamente, incluindo credenciais de navegadores, cookies, histórico de navegação, informações de carteiras de criptomoedas e dados de aplicativos de mensagens. Os dados roubados são comprimidos e enviados para um servidor de comando e controle. O malware também captura capturas de tela e tem a capacidade de contornar a criptografia de aplicativos do Chrome. Embora atualmente não esteja amplamente distribuído, os pesquisadores notaram que as táticas de ataque incluem phishing e downloads de software pirata. A proteção apenas por firewall pode não ser suficiente para evitar esses vetores de ataque, e a detecção de antivírus continua sendo eficaz contra as amostras observadas. Apesar de sua capacidade técnica, SantaStealer é mais notável por sua estratégia de marketing do que por sua maturidade técnica.

Em 2025, grupos de hackers ligados à Coreia do Norte foram responsáveis por um aumento alarmante nos roubos de criptomoedas, totalizando pelo menos $2,02 bilhões de um total de $3,4 bilhões roubados globalmente. Esse valor representa um crescimento de 51% em relação ao ano anterior, com a Coreia do Norte respondendo por 76% de todas as violações de serviços. O ataque mais significativo ocorreu em fevereiro, quando a exchange de criptomoedas Bybit foi comprometida, resultando em um roubo de $1,5 bilhão. O grupo de hackers conhecido como Lazarus, vinculado ao governo norte-coreano, tem um histórico de ataques a exchanges e serviços de criptomoedas, visando gerar receita ilícita para o regime, em violação a sanções internacionais. Além disso, a infiltração de trabalhadores de TI em empresas globais tem sido uma estratégia crescente, permitindo acesso privilegiado a serviços de criptomoedas. Os fundos roubados são frequentemente lavados através de serviços de movimentação de dinheiro em chinês e misturadores, seguindo um caminho estruturado de lavagem em várias etapas. Este cenário representa um risco significativo para a segurança cibernética global e destaca a necessidade de vigilância e mitigação por parte das empresas de tecnologia e finanças.

Pesquisadores de cibersegurança descobriram um novo pacote NuGet malicioso que utiliza typosquatting para se passar pela popular biblioteca de rastreamento .NET, introduzindo um ladrão de carteiras de criptomoedas. Nomeado ‘Tracer.Fody.NLog’, o pacote foi publicado em 26 de fevereiro de 2020 e permaneceu no repositório por quase seis anos, sendo baixado mais de 2.000 vezes. O pacote se disfarça como ‘Tracer.Fody’, que é mantido por um autor legítimo, mas contém um código que escaneia diretórios de carteiras Stratis no Windows, extrai dados de carteiras e senhas, enviando essas informações para um servidor controlado por criminosos na Rússia. O ataque utiliza táticas sofisticadas para evitar detecções, como a imitação do nome do mantenedor legítimo e a ocultação de funções maliciosas em códigos comuns. O mesmo endereço IP já havia sido utilizado em um ataque anterior, demonstrando um padrão de comportamento de ameaças que pode se repetir em outras bibliotecas populares. A descoberta ressalta a importância da segurança na cadeia de suprimentos de software, especialmente em ambientes de código aberto.

Pesquisadores de cibersegurança alertam para uma nova campanha que utiliza repositórios Python hospedados no GitHub para distribuir um Trojan de Acesso Remoto (RAT) baseado em JavaScript, denominado PyStoreRAT. Esses repositórios, que se apresentam como ferramentas de desenvolvimento ou de inteligência de código aberto (OSINT), contêm apenas algumas linhas de código que baixam e executam um arquivo HTA remotamente. O PyStoreRAT é um implante modular que pode executar diversos tipos de arquivos, incluindo EXE, DLL e scripts em PowerShell. Além disso, ele implanta um ladrão de informações chamado Rhadamanthys como carga adicional. A campanha começou em junho de 2025 e se espalhou por meio de contas do GitHub, muitas vezes inativas, que foram reativadas para publicar os repositórios maliciosos. Os atacantes utilizam técnicas para aumentar artificialmente a popularidade dos repositórios, como inflar métricas de estrelas e forks. O malware é projetado para evitar a detecção de soluções de EDR, utilizando lógica de evasão e executando comandos que podem roubar informações sensíveis, especialmente relacionadas a carteiras de criptomoedas. A origem dos atacantes sugere um grupo de língua russa, e a campanha representa uma evolução nas técnicas de infecção, utilizando implantes baseados em scripts que se adaptam às medidas de segurança existentes.

A vulnerabilidade CVE-2025-55182, presente nos React Server Components (RSC), está sendo amplamente explorada por cibercriminosos para implantar mineradores de criptomoedas e diversas famílias de malware, segundo a Huntress. As ameaças incluem um backdoor Linux chamado PeerBlight, um túnel proxy reverso denominado CowTunnel e um implante pós-exploração chamado ZinFoq. Desde o início de dezembro de 2025, ataques têm sido direcionados a setores como construção e entretenimento, com o primeiro registro de exploração em um endpoint Windows em 4 de dezembro. Os atacantes utilizam ferramentas automatizadas para explorar a vulnerabilidade, que permite a execução remota de código não autenticado. Os payloads observados incluem scripts que baixam mineradores de criptomoedas e backdoors que se disfarçam como processos legítimos do sistema. A Huntress recomenda que organizações que utilizam pacotes vulneráveis atualizem imediatamente seus sistemas, dado o alto potencial de exploração e a gravidade da falha. A Shadowserver Foundation identificou mais de 165 mil endereços IP e 644 mil domínios com código vulnerável, destacando a urgência da situação.

Pesquisadores de cibersegurança identificaram uma nova extensão maliciosa chamada Crypto Copilot na Chrome Web Store, que é capaz de injetar transferências ocultas de Solana em transações de troca, desviando fundos para uma carteira controlada por atacantes. Publicada em 7 de maio de 2024, a extensão foi descrita como uma ferramenta para ’negociar criptomoedas diretamente no X com insights em tempo real’. No entanto, por trás de sua interface, ela adiciona uma transferência extra em cada troca de Solana, cobrando uma taxa mínima de 0.0013 SOL. O código malicioso é ofuscado para evitar detecção e se ativa durante as trocas na plataforma Raydium, um DEX na blockchain Solana. A extensão também se comunica com um backend para registrar carteiras conectadas e monitorar atividades dos usuários, mantendo os usuários desinformados sobre as taxas ocultas. A extensão ainda está disponível para download, apesar de seu comportamento fraudulento.

Pesquisadores de cibersegurança identificaram um conjunto de sete pacotes npm maliciosos publicados por um ator de ameaça conhecido como ‘dino_reborn’ entre setembro e novembro de 2025. Esses pacotes utilizam um serviço de cloaking chamado Adspect para distinguir entre vítimas reais e pesquisadores de segurança, redirecionando as vítimas para sites fraudulentos relacionados a criptomoedas. Se um visitante é identificado como vítima, ele é levado a um site malicioso após interagir com um CAPTCHA falso. Se o visitante é um pesquisador, ele é apresentado a uma página de engano sem funcionalidades maliciosas. Seis dos pacotes contêm um malware de 39kB que captura impressões digitais do sistema e impede a análise do código-fonte. O uso do Adspect é notável, pois combina cloaking de tráfego e controles anti-pesquisa em pacotes de código aberto, permitindo que o ator de ameaça distribua um kit de ferramentas de controle de tráfego. O impacto potencial inclui roubo de ativos digitais e a possibilidade de comprometer a segurança de desenvolvedores que utilizam npm, uma plataforma amplamente utilizada no Brasil.

Os Estados Unidos criaram uma força-tarefa, denominada ‘Strike Force’, para combater fraudes relacionadas a criptomoedas que operam a partir do Sudeste Asiático, especialmente em países como Mianmar, Camboja e Laos. Nos últimos cinco anos, redes organizadas têm enganado cidadãos americanos, resultando em perdas de bilhões de dólares. A força-tarefa, que envolve várias agências federais, como o Departamento de Justiça e o FBI, utilizará investigações, processos criminais, sanções e apreensões para desmantelar essas operações e buscar restituição para as vítimas. Até agora, foram apreendidos mais de 401 milhões de dólares em criptomoedas de operações fraudulentas. Além disso, a força-tarefa está colaborando com autoridades locais, como a Polícia Real da Tailândia, para combater centros de fraudes. Grupos criminosos transnacionais, incluindo organizações chinesas, estão envolvidos na coordenação dessas fraudes, que também estão ligadas a atividades de tráfico humano e conflitos armados na região. O aumento das fraudes em investimentos em criptomoedas tem sido alarmante, com o Serviço Secreto dos EUA relatando cerca de 3.000 vítimas apenas no ano fiscal de 2025. A iniciativa reflete o compromisso dos EUA em se tornar um centro global para a indústria de criptomoedas, ao mesmo tempo em que protege seus cidadãos de fraudes.

Pesquisadores da Socket identificaram uma extensão maliciosa chamada Safery: Ethereum Wallet, disponível na Chrome Web Store, que se disfarça como uma carteira de criptomoedas segura. Desde sua publicação em 29 de setembro de 2025, a extensão tem como objetivo roubar as seed phrases, que são as senhas utilizadas para recuperar carteiras de criptomoedas. A extensão contém uma backdoor que extrai essas frases mnemônicas e as envia disfarçadas como endereços de carteiras Sui, utilizando microtransações de 0,000001 SUI para ocultar o roubo. Essa técnica permite que os hackers obtenham as seed phrases sem a necessidade de um servidor de comando e controle, tornando o ataque mais difícil de detectar. Os especialistas recomendam que usuários de criptomoedas utilizem apenas extensões confiáveis e conhecidas, além de sugerirem que organizações realizem escaneamentos em busca de códigos maliciosos em extensões instaladas. A extensão ainda está disponível para download, o que representa um risco significativo para os usuários de criptomoedas.

Uma nova investigação da NVISO revelou uma campanha de malware chamada “Contagious Interview”, associada a atores de ameaças alinhados à Coreia do Norte. Essa campanha utiliza serviços legítimos de armazenamento JSON, como JSON Keeper e JSONsilo, para distribuir malware a partir de repositórios de código comprometidos. O ataque se concentra em desenvolvedores de software, especialmente nos setores de criptomoedas e Web3, que são abordados por recrutadores falsos em plataformas profissionais como o LinkedIn. Os desenvolvedores são induzidos a baixar projetos de demonstração de repositórios como GitLab ou GitHub, que, embora pareçam funcionais, contêm arquivos de configuração maliciosos. Esses arquivos, ao serem decodificados, revelam URLs que carregam scripts JavaScript ofuscados, levando à instalação de um infostealer chamado BeaverTail, que coleta dados sensíveis. A segunda fase do ataque envolve um RAT modular chamado InvisibleFerret, que busca componentes adicionais em Pastebin. A NVISO alerta que os desenvolvedores devem ser cautelosos ao executar códigos de entrevistas não solicitadas e tratar variáveis de configuração como potenciais vetores de infecção.

Uma nova campanha de malware, composta por LeakyInjector e LeakyStealer, foi descoberta, visando roubar ativos em criptomoedas e dados de navegação dos usuários. O LeakyInjector, um executável de 64 bits assinado com um certificado digital válido, consegue contornar a segurança ao ser executado. Ele injeta o LeakyStealer na memória, que utiliza criptografia ChaCha20 para proteger seu código. O LeakyStealer estabelece persistência no sistema e coleta informações como nomes de usuário e dados de domínios, conectando-se a um servidor de comando e controle (C2) para exfiltrar dados. O malware também possui um motor polimórfico que dificulta a detecção estática, alterando bytes de memória durante a execução. Ele busca por carteiras de criptomoedas populares e extensões de navegadores, além de exfiltrar o histórico de navegação de vários navegadores. A campanha é considerada sofisticada, com um uso abusivo de assinatura de código e mecanismos furtivos de exfiltração, exigindo atenção imediata das equipes de resposta a incidentes.

Um novo malware para Android, identificado como ‘Android/BankBot-YNRK’, está causando preocupação entre usuários de criptomoedas na Indonésia e em outros países do sudeste asiático. Este trojan bancário se disfarça de aplicativos populares, como WhatsApp e TikTok, e é capaz de drenar carteiras de criptomoedas sem que as vítimas percebam. O malware utiliza recursos de acessibilidade do Android para obter controle total do dispositivo, permitindo que os cibercriminosos acessem dados bancários, senhas e chaves de criptomoedas. Uma das características mais alarmantes do vírus é sua capacidade de desativar notificações e alertas, tornando difícil para o usuário perceber transações suspeitas em andamento. Além disso, o malware pode capturar imagens em tempo real, facilitando o roubo de credenciais de acesso. A Cyfirma, empresa de cibersegurança que identificou a ameaça, alerta que o vírus se espalha principalmente por meio de downloads de APKs de fontes não oficiais, enganando os usuários com simulações de verificações de dados pessoais. A situação é crítica, especialmente para dispositivos com Android 13 e versões anteriores, que oferecem permissões que facilitam a ação do malware.

Uma operação coordenada de aplicação da lei resultou na prisão de nove indivíduos envolvidos em uma rede de lavagem de dinheiro com criptomoedas, que enganou vítimas em um total de €600 milhões (aproximadamente $688 milhões). A ação, realizada entre 27 e 29 de outubro, abrangeu países como Chipre, Espanha e Alemanha, com o apoio de agências de outros países europeus, incluindo França e Bélgica. Os suspeitos foram acusados de criar plataformas de investimento em criptomoedas fraudulentas que prometiam altos retornos, atraindo vítimas por meio de publicidade em redes sociais, chamadas frias e depoimentos falsos. Após os investimentos, os ativos eram lavados utilizando tecnologia de blockchain. A investigação começou após reclamações de vítimas que não conseguiam recuperar seus investimentos, levando às prisões e apreensões de €800.000 em contas bancárias, €415.000 em criptomoedas e €300.000 em dinheiro. A Europol destacou que o uso criminoso de criptomoedas está se tornando cada vez mais profissional e organizado, exigindo uma resposta colaborativa e eficaz das autoridades.

Uma vulnerabilidade de execução remota de código (RCE) não autenticada no XWiki, identificada como CVE-2025-24893, está sendo ativamente explorada por atacantes para implantar malware de mineração de criptomoedas. Essa falha, que permite a injeção de templates, possibilita a execução de código arbitrário em sistemas vulneráveis sem necessidade de autenticação, representando uma ameaça significativa para organizações que utilizam versões não corrigidas do XWiki.

A análise da VulnCheck revelou uma cadeia de ataque sofisticada em duas etapas, onde os atacantes inicialmente enviam uma solicitação GET maliciosa para um endpoint específico, que baixa um arquivo malicioso para o diretório /tmp do sistema alvo. O primeiro estágio do downloader, denominado x640, puxa scripts adicionais que estabelecem operações de mineração de criptomoedas. O segundo estágio prepara o ambiente do sistema e inicia um minerador de Monero, demonstrando práticas avançadas de segurança operacional para evitar detecções.

O grupo de ameaças cibernéticas conhecido como Famous Chollima, vinculado ao Bureau Geral de Reconhecimento da Coreia do Norte, aprimorou suas capacidades de malware ao combinar as funcionalidades dos malwares BeaverTail e OtterCookie em variantes unificadas de infostealers. A nova campanha do grupo utiliza táticas enganosas de recrutamento de emprego e ataques à cadeia de suprimentos através de pacotes maliciosos do NPM, visando profissionais de criptomoedas e blockchain.

O ataque recente focou em um aplicativo de xadrez temático de criptomoedas chamado Chessfi, distribuído por meio de um repositório comprometido do Bitbucket. Ao clonar o repositório, os usuários baixaram automaticamente o pacote malicioso “node-nvm-ssh” do NPM, que executou scripts JavaScript ofuscados. O BeaverTail se concentra na enumeração de perfis de navegador, visando extensões de carteiras de criptomoedas como MetaMask e Phantom, enquanto o OtterCookie oferece acesso remoto e coleta de dados sensíveis.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos que visa o gerenciador de pacotes NuGet, utilizando typosquats maliciosos da plataforma Nethereum, que integra o Ethereum com .NET. O pacote malicioso, denominado Netherеum.All, foi projetado para decodificar um ponto de controle e comando (C2) e exfiltrar frases mnemônicas, chaves privadas e dados de armazenamento de carteiras. O pacote foi carregado por um usuário chamado ’nethereumgroup’ em 16 de outubro de 2025 e removido quatro dias depois por violar os termos de uso do NuGet. O ataque se destaca pelo uso de um homoglyph cirílico que substitui a letra ’e’, enganando desenvolvedores desavisados. Além disso, os atacantes inflaram artificialmente as contagens de download, alegando 11,7 milhões de downloads, o que é um sinal de alerta, já que é improvável que uma nova biblioteca alcance tal número rapidamente. A principal funcionalidade maliciosa está em uma função chamada EIP70221TransactionService.Shuffle, que extrai dados sensíveis da carteira do usuário. Este incidente ressalta a vulnerabilidade do NuGet, que não impõe restrições rigorosas sobre esquemas de nomenclatura, ao contrário de outros repositórios de código aberto. Para mitigar riscos, os usuários devem verificar cuidadosamente as bibliotecas antes de baixá-las e monitorar o tráfego de rede anômalo.

O Google Threat Intelligence Group (GTIG) revelou que o grupo de hackers norte-coreano UNC5342 está utilizando uma técnica inovadora chamada EtherHiding para realizar roubos em larga escala de criptomoedas. Essa técnica, que foi inicialmente associada a grupos motivados financeiramente, envolve a inserção de códigos maliciosos em contratos inteligentes de blockchains, como BNB Smart Chain e Ethereum, transformando esses registros descentralizados em servidores de comando e controle à prova de desativação.

O cenário da cibersegurança está em constante transformação, com novas fraudes e ataques surgindo a cada semana. Hackers estão se tornando mais sofisticados, utilizando aplicativos confiáveis e sites legítimos para enganar usuários e roubar informações sem que eles percebam. Um exemplo alarmante é a operação do governo dos EUA que apreendeu US$ 15 bilhões em criptomoedas de uma rede de fraudes que operava na Ásia, onde trabalhadores eram forçados a realizar esquemas de investimento fraudulentos. Além disso, um novo trojan bancário chamado Maverick, que utiliza o WhatsApp para roubar dados de usuários brasileiros, foi identificado, destacando a vulnerabilidade de plataformas populares. Pesquisas também revelaram que é possível interceptar comunicações de satélites militares e comerciais com equipamentos comuns, expondo dados sensíveis. Por fim, protocolos legados do Windows continuam a ser explorados para roubo de credenciais, evidenciando a necessidade de atualização e segurança em sistemas. Este artigo destaca a urgência de uma resposta proativa na defesa contra essas ameaças emergentes.

A ‘Operação Hércules’, realizada pela polícia alemã em colaboração com autoridades da Bulgária e a Europol, resultou na desativação de mais de 1.400 sites fraudulentos que enganavam vítimas com promessas de investimentos em criptomoedas. Os golpistas utilizaram inteligência artificial para criar sites convincentes, simulando retornos financeiros significativos. Após o fechamento das páginas, foram registradas mais de 860.000 tentativas de acesso, evidenciando a popularidade dessas plataformas de investimento falsas. Os usuários eram induzidos a registrar contas e a investir, sendo inicialmente permitidos a retirar pequenas quantias, o que os levava a acreditar na legitimidade dos sites. Quando tentavam retirar valores maiores, eram informados sobre taxas ou impostos, e, em muitos casos, os sites simplesmente saíam do ar. Apesar da magnitude da operação, não houve prisões, o que sugere que os golpistas podem retomar suas atividades rapidamente. Especialistas alertam para a crescente incidência de fraudes relacionadas a criptomoedas, especialmente em um ambiente regulatório fraco, e recomendam cautela ao considerar investimentos em plataformas online.

Uma cidadã chinesa, Zhimin Qian, também conhecida como Yadi Zhang, foi condenada no Reino Unido por sua participação em um esquema fraudulento de criptomoedas que resultou na defraudação de mais de 128 mil vítimas. Durante uma operação policial em sua residência em Londres, as autoridades confiscou £5,5 bilhões (aproximadamente $7,39 bilhões) em criptomoedas, totalizando 61.000 Bitcoins, o que representa a maior apreensão desse tipo no mundo. A investigação, iniciada em 2018, revelou que Zhang enganou principalmente pessoas entre 50 e 75 anos, prometendo lucros garantidos e dividendos diários. Após fugir da China com documentos falsos, ela tentou lavar o dinheiro por meio da compra de propriedades no Reino Unido. Outro envolvido, Jian Wen, também foi condenado e teve que devolver mais de £3,1 milhões. Além disso, a INTERPOL anunciou a Operação Contender 3.0, que resultou na prisão de 260 suspeitos em 14 países africanos, visando combater fraudes online, como golpes românticos e sextorsão, que afetaram 1.463 vítimas e geraram perdas de $2,8 milhões.

Pesquisadores identificaram 18 amostras distintas do Acreed, um infostealer avançado que está se tornando popular entre redes de cibercriminosos. A arquitetura do Acreed é notável por seu mecanismo inovador de recuperação de comando e controle (C2), que utiliza tanto a BNB Smartchain Testnet quanto a plataforma de jogos Steam como resolutores de dead drop. Ao embutir instruções criptografadas em transações de blockchain e chamadas legítimas da API do Steam, os atacantes garantem comunicações C2 resilientes que se misturam ao tráfego de rede benigno.

O grupo de ameaças associado à Coreia do Norte, conhecido como Contagious Interview, foi vinculado a uma nova backdoor chamada AkdoorTea, além de outras ferramentas como TsunamiKit e Tropidoor. A campanha, monitorada pela empresa de cibersegurança ESET sob o nome DeceptiveDevelopment, visa desenvolvedores de software em diversas plataformas, especialmente aqueles envolvidos com criptomoedas e projetos Web3. Os atacantes se fazem passar por recrutadores, oferecendo vagas atraentes em plataformas como LinkedIn e Upwork. Após o contato inicial, os alvos são solicitados a realizar uma avaliação em vídeo ou um exercício de programação que, na verdade, instala malware em seus sistemas. Os malwares identificados incluem BeaverTail, que exfiltra dados sensíveis, e WeaselStore, que atua como um RAT (trojan de acesso remoto). A campanha utiliza técnicas de engenharia social e ferramentas de código aberto, demonstrando um modelo de operação distribuído e criativo. Além disso, há uma conexão com um esquema de fraude de trabalhadores de TI da Coreia do Norte, que visa infiltrar agentes em empresas utilizando identidades roubadas. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que operam no setor de tecnologia e criptomoedas.

Autoridades de segurança na Europa prenderam cinco suspeitos envolvidos em um esquema de fraude online que desviou mais de €100 milhões (cerca de $118 milhões) de mais de 100 vítimas na França, Alemanha, Itália e Espanha. A operação, coordenada pela Eurojust, incluiu buscas em cinco locais na Espanha e Portugal, além de ações em Itália, Romênia e Bulgária, resultando no congelamento de contas bancárias e ativos financeiros relacionados ao crime. O principal acusado foi denunciado por fraudes em larga escala e lavagem de dinheiro, operando uma plataforma de investimento online que prometia altos retornos em criptomoedas. Após os depósitos, os fundos eram transferidos para contas na Lituânia para lavagem. Vítimas que tentaram retirar seus investimentos foram solicitadas a pagar taxas adicionais, após o que o site desapareceu. A investigação envolveu várias agências judiciais e de segurança de diferentes países europeus e destacou a crescente preocupação com fraudes online, especialmente em investimentos. Em um contexto mais amplo, a Comissão Federal de Comércio dos EUA relatou perdas recordes de $12,5 bilhões em fraudes em 2024, com os esquemas de investimento sendo os mais prejudiciais. Além disso, um ataque de engenharia social em uma plataforma de blockchain resultou na recuperação de $13 milhões, demonstrando a importância da detecção precoce e ação rápida contra fraudes.

Um incidente alarmante ocorreu com o streamer letão Raivo Plavnieks, conhecido como RastalandTV, que teve mais de R$ 170 mil roubados de sua carteira de criptomoedas após baixar o jogo Block Blasters, disponível na plataforma Steam. O jogo, que estava ativo entre 30 de julho e 21 de setembro de 2025, foi inicialmente considerado seguro, mas em 30 de agosto, recebeu um dropper que instalou um aplicativo malicioso em computadores de jogadores. O malware coletava informações sensíveis, como dados de login do Steam e endereços IP, enviando-os para os golpistas. A investigação revelou que até 478 contas de usuários do Steam foram comprometidas, com perdas totais estimadas em até US$ 150.000. O caso destaca a vulnerabilidade de jogadores que possuem criptomoedas e a necessidade de cautela ao baixar jogos, especialmente aqueles com avaliações positivas, mas que podem esconder malwares. A Valve, responsável pelo Steam, ainda não se pronunciou sobre o incidente. Usuários afetados são aconselhados a trocar suas senhas e transferir seus ativos digitais para carteiras mais seguras.

A Real Polícia Montada do Canadá (RCMP) desmantelou a TradeOgre, uma exchange de criptomoedas, após a maior apreensão de criptomoedas da história do país, totalizando mais de $56 milhões. A operação, anunciada em 18 de setembro de 2025, foi motivada por investigações que começaram em junho de 2024, quando a Europol sinalizou atividades suspeitas na plataforma. A TradeOgre era conhecida por permitir negociações anônimas, sem exigir verificação de identidade, o que a tornava um alvo atrativo para organizações criminosas que buscavam lavar dinheiro. A plataforma não estava registrada no Centro de Análise de Transações Financeiras do Canadá (FINTRAC) e não implementava controles de prevenção à lavagem de dinheiro (AML) ou procedimentos de conhecimento do cliente (KYC), exigidos pela legislação canadense. A análise técnica dos dados de transações em blockchain revelou que a maioria dos ativos digitais movimentados pela TradeOgre tinha origem em atividades criminosas. A operação da RCMP não só resultou na apreensão financeira, mas também na interrupção de uma infraestrutura crítica utilizada por criminosos. A investigação continua, com a possibilidade de novas acusações à medida que os dados da plataforma são analisados.

Uma nova variante do malware BeaverTail, associada a operadores estatais da Coreia do Norte, está sendo utilizada para atacar o setor de varejo e criptomoedas. Desde maio de 2025, os atacantes têm refinado sua infraestrutura de distribuição de malware, utilizando executáveis compilados e iscas de engenharia social através de uma plataforma de contratação falsa. Essa abordagem visa expandir o número de vítimas potenciais, focando em funções de marketing e vendas, ao invés de apenas desenvolvedores de software.

Um grupo hacker conhecido como WhiteCobra está atacando desenvolvedores por meio de extensões falsas para editores de código como VSCode, Cursor e Windsurf. Essas extensões maliciosas têm como objetivo roubar credenciais de acesso e carteiras de criptomoedas. A descoberta foi feita pelo programador Zak Cole, que teve sua carteira comprometida após instalar uma extensão que parecia legítima, mas que possuía um número de downloads inflacionado artificialmente. Pesquisadores da Koi Security identificaram pelo menos 24 extensões falsas disponíveis em marketplaces oficiais, como o Visual Studio Marketplace e Open VSX. O malware se adapta ao sistema operacional do usuário, utilizando scripts que baixam um software malicioso, como o LummaStealer, em Windows e um binário Mach-O em macOS. O grupo WhiteCobra é descrito como altamente organizado, capaz de lançar ataques em menos de três horas. Para evitar esses golpes, os programadores devem verificar a autenticidade das extensões, desconfiar de nomes que imitam extensões conhecidas e analisar a quantidade de downloads e avaliações positivas em um curto período.

Um dos maiores ataques a pacotes do npm foi detectado pela Aikido Security, envolvendo 18 pacotes populares, como chalk e debug, que foram comprometidos para roubar carteiras de criptomoedas. O ataque ocorreu após a invasão de um mantenedor confiável, conhecido como qix, que caiu em um golpe de phishing. Esses pacotes, que somam mais de 2 bilhões de downloads semanais, impactaram um grande número de usuários. O malware injetado altera transações de criptomoedas feitas por navegadores, redirecionando fundos para endereços controlados pelos hackers, mesmo que a interface mostre informações corretas. A detecção do ataque foi rápida, ocorrendo em cinco minutos, e a contenção foi realizada em uma hora, minimizando os danos. Especialistas recomendam que desenvolvedores revertam para versões anteriores dos pacotes afetados e monitorem transações de criptomoedas para evitar perdas. Este incidente destaca a vulnerabilidade de ambientes de desenvolvimento e a necessidade de vigilância constante contra ataques de phishing e malware.

Pesquisadores de cibersegurança da CYFIRMA identificaram um infostealer sofisticado, denominado Salat Stealer (ou WEB_RAT), que opera com uma infraestrutura avançada de comando e controle (C2) para extrair dados sensíveis de sistemas Windows. Este malware é especialmente eficaz na exfiltração de credenciais de navegadores, informações de carteiras de criptomoedas e dados de sessão, utilizando diversas técnicas de evasão para evitar a detecção. O arquivo analisado, com 3,14 MB, apresenta um alto valor de entropia, indicando forte ofuscação. Ao ser executado, o Salat Stealer implementa mecanismos de persistência, como entradas no registro e tarefas agendadas com nomes enganosos, para se disfarçar como processos legítimos do sistema.

Um ataque à cadeia de suprimentos de software comprometeu múltiplos pacotes do npm após o roubo da conta de um mantenedor, Josh Junon, em um ataque de phishing. O e-mail fraudulento, que se disfarçou como uma comunicação oficial do npm, induziu Junon a inserir suas credenciais e token de autenticação de dois fatores (2FA) em uma página falsa. Isso permitiu que os atacantes publicassem versões maliciosas de 20 pacotes populares, que juntos somam mais de 2 bilhões de downloads semanais. O malware injetado foi projetado para interceptar solicitações de transações de criptomoedas, substituindo o endereço da carteira de destino por um controlado pelos atacantes. A análise do código malicioso revelou que ele atua como um interceptor baseado em navegador, comprometendo o tráfego de rede e APIs de aplicativos. O incidente destaca a vulnerabilidade dos ecossistemas de pacotes, como o npm, que são alvos frequentes devido à sua popularidade. Especialistas alertam para a necessidade de vigilância constante e fortalecimento das práticas de segurança nas cadeias de suprimentos de software.

Pesquisadores em cibersegurança descobriram um pacote npm malicioso chamado nodejs-smtp, que se disfarça como uma biblioteca de e-mail legítima (nodemailer) e tem como alvo aplicativos de desktop para carteiras de criptomoedas, como Atomic e Exodus, em sistemas Windows. Desde sua publicação em abril de 2025, o pacote teve 347 downloads antes de ser removido do registro npm. Ao ser importado, ele utiliza ferramentas do Electron para descompactar o arquivo app.asar da Atomic Wallet, substituindo um pacote legítimo por um payload malicioso e reempacotando o aplicativo, eliminando vestígios da operação. O principal objetivo é redirecionar transações de criptomoedas, como Bitcoin e Ethereum, para carteiras controladas pelo atacante, atuando como um ‘clipper’ de criptomoedas. Apesar de sua funcionalidade maliciosa, o pacote ainda opera como um mailer, o que reduz a suspeita dos desenvolvedores. Essa descoberta ressalta os riscos associados a importações rotineiras em estações de trabalho de desenvolvedores, que podem modificar silenciosamente aplicativos de desktop e persistir após reinicializações.

Recentemente, a Mandiant, empresa de cibersegurança pertencente ao Google, revelou que um grupo de ameaças, identificado como UNC5518, está utilizando uma técnica de engenharia social chamada ClickFix para implantar um backdoor versátil conhecido como CORNFLAKE.V3. O ataque começa quando usuários são atraídos para páginas falsas de verificação CAPTCHA, onde são induzidos a executar um script PowerShell malicioso. Este script permite que os atacantes acessem os sistemas das vítimas e implantem cargas adicionais. O CORNFLAKE.V3, que é uma versão atualizada de um backdoor anterior, suporta a execução de diversos tipos de payloads e coleta informações do sistema, transmitindo-as para servidores externos através de túneis do Cloudflare, dificultando a detecção. Além disso, a Mandiant também destacou uma campanha em andamento que utiliza drives USB infectados para implantar mineradores de criptomoedas, demonstrando a eficácia contínua desse vetor de ataque. Para mitigar esses riscos, recomenda-se que as organizações desativem o diálogo de execução do Windows e realizem simulações regulares de engenharia social.

Noah Michael Urban, um jovem de 20 anos, foi condenado a dez anos de prisão nos Estados Unidos por sua participação em uma série de ataques cibernéticos e roubos de criptomoedas, relacionados ao infame grupo de cibercrime conhecido como Scattered Spider. Urban, que se declarou culpado de fraude eletrônica e roubo de identidade agravado, também foi condenado a pagar US$ 13 milhões em restituição às vítimas. Entre agosto de 2022 e março de 2023, ele e seus cúmplices realizaram ataques de SIM swapping, que permitiram o acesso não autorizado a contas de criptomoedas, resultando em um roubo de pelo menos US$ 800 mil de cinco vítimas diferentes. Além disso, o Departamento de Justiça dos EUA revelou que Urban e outros membros do grupo utilizaram técnicas de engenharia social para invadir redes corporativas e roubar dados proprietários, além de desviar milhões de dólares em criptomoedas. O Scattered Spider, que se uniu a outros grupos de cibercrime, está se tornando uma ameaça crescente, utilizando táticas que exploram vulnerabilidades humanas em vez de apenas técnicas. A condenação de Urban destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger informações sensíveis em um cenário de cibercrime em evolução.

Recentes vazamentos de dados revelaram que grupos patrocinados pelo Estado da Coreia do Norte, como o ‘Jasper Sleet’, estão intensificando suas operações cibernéticas ao se infiltrar em empresas estrangeiras por meio de empregos remotos legítimos, especialmente nas áreas de Web3, blockchain e criptomoedas. A análise de endereços de e-mail vazados mostra padrões críticos que podem ajudar organizações a identificar candidatos fraudulentos antes de conceder acesso aos sistemas corporativos.

Os vazamentos expuseram 1.389 endereços de e-mail, muitos dos quais estavam associados a uma operação anterior, indicando uma infraestrutura operacional bem estabelecida. A maioria dos endereços utiliza o Gmail, com uma significativa presença de serviços de e-mail temporários, sugerindo práticas de segurança operacional sofisticadas. Além disso, a análise de senhas revelou padrões comuns, com algumas senhas únicas que não aparecem em bancos de dados conhecidos.

O Departamento do Tesouro dos EUA renovou sanções contra a plataforma de câmbio de criptomoedas russa Garantex, acusada de facilitar atividades de ransomware e outros crimes cibernéticos, processando mais de US$ 100 milhões em transações ilícitas desde 2019. As sanções também foram estendidas ao sucessor da Garantex, Grinex, e a três de seus executivos. O Tesouro destacou que o uso de ativos digitais para lavagem de dinheiro e ataques de ransomware representa uma ameaça à segurança nacional e prejudica a reputação de provedores legítimos de serviços de ativos virtuais. Garantex já havia sido sancionada em abril de 2022 por facilitar transações de mercados darknet. Após a apreensão do site da Garantex em março de 2025, a plataforma rebranded como Grinex, continuando a processar transações ilícitas. O Tesouro também anunciou recompensas por informações que levem à prisão de executivos da Garantex. Além disso, o Departamento de Justiça dos EUA revelou a apreensão de mais de US$ 2,8 milhões em criptomoedas relacionadas a atividades de ransomware, destacando a importância de ações coordenadas contra redes criminosas.