Criptomoedas

Um novo malware baseado em Go, identificado em ataques ClickFix, está atacando usuários do macOS e roubando ativos de criptomoedas, senhas armazenadas em navegadores, dados do Apple Keychain e credenciais em cache. O malware é capaz de interceptar e redirecionar transações de várias criptomoedas, podendo esvaziar carteiras ou desviar uma porcentagem dos fundos. A descoberta foi feita pela Huntress, que analisou o incidente após um ataque ClickFix. O malware é instalado através de um script Bash que coleta informações do sistema e baixa um payload específico para a arquitetura do processador da vítima. Além de roubar credenciais, o malware modifica transações de criptomoedas antes de serem assinadas, permitindo que o atacante desvie uma parte dos fundos. Os pesquisadores identificaram que o malware se comunica com endereços IP associados a uma corporação russa sancionada, conhecida como Aeza Group, que oferece serviços de hospedagem para grupos de ransomware. Este incidente destaca a necessidade de vigilância constante e testes de segurança para evitar que ameaças passem despercebidas.

Um ataque cibernético recente comprometeu um arquivo JavaScript fornecido pela empresa de tecnologia publicitária Adform, transformando-o em uma ferramenta que reescreve endereços de carteiras de criptomoedas. O incidente foi detectado em 27 de julho de 2026, e a Adform removeu o código malicioso, notificou os clientes afetados e comunicou as autoridades. Qualquer pessoa que acessou um site com o script comprometido e copiou um endereço de Bitcoin, Ethereum ou Tron pode ter colado um endereço diferente inserido pelo código malicioso. A Adform recomenda que os usuários limpem o cache do navegador e verifiquem os endereços das carteiras antes de enviar fundos. O ataque não instalou software nem estabeleceu persistência, operando apenas enquanto a página afetada estava aberta. O recurso comprometido, trackpoint-async.js, foi utilizado em várias páginas, permitindo que os atacantes acessassem sites não relacionados sem precisar invadir cada um separadamente. A extensão do ataque ainda é incerta, incluindo quantos sites foram afetados e quantos visitantes expostos. A Adform não identificou publicamente o atacante e não forneceu números sobre quantas visualizações de página receberam o recurso alterado.

A empresa de publicidade online Adform foi alvo de um ataque à cadeia de suprimentos que injetou scripts maliciosos em sites que utilizam sua plataforma de anúncios. O ataque, descoberto pelo pesquisador de segurança Kevin Beaumont, envolveu um script JavaScript chamado ’trackpoint-async.js’, que monitorava a área de transferência dos usuários. Quando um endereço de carteira de criptomoeda, como Bitcoin ou Ethereum, era copiado, o script o substituía por um endereço controlado pelo atacante, redirecionando assim pagamentos de criptomoedas. Beaumont observou que o código malicioso foi removido rapidamente após sua descoberta em 27 de julho de 2026, e a Adform confirmou a atividade suspeita, garantindo que não houve instalação de software persistente nos dispositivos dos usuários. A empresa recomendou que os visitantes dos sites afetados limpassem os cookies do navegador para eliminar o código malicioso. Embora a Adform tenha declarado que seus serviços estão seguros, a investigação sobre o incidente continua.

Uma nova operação de malvertising, chamada SourTrade, está utilizando uma técnica inovadora para comprometer navegadores de usuários, fazendo com que eles construam um executável malicioso do Windows em vez de baixar um arquivo completo de uma URL fixa. A campanha, que começou no final de 2024, foca em investidores de criptomoedas e se disfarça como serviços legítimos como TradingView e Solana, atingindo usuários em 12 países e 25 idiomas. A análise da Confiant, divulgada em 23 de julho de 2026, revela que a página de destino coleta informações dos visitantes, apresentando uma página vazia para pesquisadores e bots, enquanto os alvos selecionados veem uma cópia convincente do serviço falsificado. A técnica não depende de vulnerabilidades do navegador, mas sim de um processo complexo que envolve a construção do executável diretamente no navegador, utilizando um runtime legítimo chamado Bun. Essa abordagem dificulta a detecção, pois não há um malware completo na rede, apenas partes que são montadas em tempo real. A Confiant recomenda que os usuários instalem softwares de negociação e carteiras apenas a partir dos sites oficiais dos fornecedores, evitando anúncios. Embora não haja um patch disponível, a análise sugere que a defesa deve ser focada em examinar toda a cadeia de entrega do ataque.

Uma campanha massiva de malvertising está utilizando páginas falsas de Solana, Luno e TradingView, que contêm JavaScript malicioso capaz de montar malware diretamente na memória dos navegadores. Desde o final de 2024, a operação tem se concentrado em 25 idiomas em 12 países, principalmente na Ásia-Pacífico e na América Latina. Um sistema de filtragem garante que apenas alvos reais, como traders e investidores de criptomoedas, acessem as páginas maliciosas, enquanto pesquisadores e bots de segurança são redirecionados para páginas em branco. A plataforma de segurança Confiant destaca que o design da campanha se diferencia pelo uso do navegador como um “pipeline de montagem local” para o malware. As páginas falsas apresentam um botão de download, mas utilizam uma biblioteca ReactJS para preparar o navegador para um fluxo de download gerenciado. O processo envolve a configuração de um worker compartilhado que monta o arquivo malicioso a partir de componentes recebidos, garantindo que o arquivo final tenha um hash único para evitar detecções. Embora a natureza do payload não tenha sido revelada, evidências sugerem que ele pode interceptar tráfego de rede, coletar dados de cookies e senhas, registrar teclas e roubar dados de carteiras de criptomoedas. Os usuários são aconselhados a evitar downloads de aplicativos financeiros ou de criptomoedas a partir de anúncios em redes sociais e a sempre obter arquivos executáveis dos sites oficiais das empresas.

A plataforma de negociação descentralizada Ostium anunciou que um atacante roubou US$ 23,75 milhões de seu cofre de provedores de liquidez na semana passada, após comprometer a infraestrutura off-chain utilizada para alimentar os preços do protocolo. O atacante enviou relatórios de preços ilegítimos disfarçados como válidos e rapidamente abriu e fechou grandes posições para gerar lucros artificiais. A Ostium esclareceu que o colateral dos traders foi mantido em um contrato separado e não foi afetado, enquanto as posições existentes permanecem abertas. A empresa notificou sua comunidade sobre o incidente em 16 de julho, informando que as negociações precisaram ser pausadas devido ao ataque. A Ostium está trabalhando para garantir a infraestrutura afetada e determinar um caminho a seguir para os provedores de liquidez. Até o momento, as negociações na plataforma permanecem pausadas, e a empresa prometeu fornecer uma análise pós-morte com detalhes técnicos nos próximos dias.

Um novo framework malicioso chamado OkoBot está em operação, entregando mais de 20 tipos de payloads em ataques que visam roubar frases-semente de carteiras de criptomoedas, credenciais e outros dados sensíveis. O OkoBot atinge suas vítimas por meio de ataques ClickFix ou repositórios maliciosos no GitHub que se disfarçam como ferramentas de software legítimas. Um exemplo é um repositório que prometia o SQL Server Management Studio (SSMS), mas na verdade instalava uma versão trojanizada do Audacity. Pesquisadores da Kaspersky identificaram que a campanha OkoBot está ativa há mais de um ano e evoluiu de uma atividade anterior que utilizava um script PowerShell malicioso chamado TookPS. A nova cadeia de infecção envolve múltiplas etapas, começando com o TookPS que instala um bot SSH para entregar outros componentes maliciosos. O OkoBot coleta detalhes do sistema, desativa notificações do Windows Defender e rouba arquivos de carteiras de criptomoedas, cookies de navegadores e credenciais de contas. Entre os módulos mais notáveis estão o ext daemon/extl.exe, que injeta extensões maliciosas no Chrome, e o SeedHunter, que finge ser uma tela de recuperação de seed para roubar frases de recuperação de carteiras. A maioria das vítimas está no Brasil, seguido por países como Vietnã, Canadá e México. A campanha é global, mas apresenta características que sugerem a atuação de um ator de ameaças de língua russa.

O ClickLock Stealer é um novo infostealer direcionado a sistemas macOS, que utiliza táticas de coerção para forçar as vítimas a fornecer suas senhas de login. O malware é introduzido através de um comando colado no Terminal, que solicita a senha em um falso diálogo de sistema. Caso a vítima cancele a operação, o malware instala dois LaunchAgents que iniciam um ciclo de encerramento de aplicativos a cada 210 milissegundos, por até 83 horas, mantendo uma caixa de senha visível na tela. Ao digitar a senha, o invasor obtém acesso ao Keychain, credenciais de navegadores e carteiras de criptomoedas.

A Polícia Holandesa anunciou a prisão de vários indivíduos suspeitos de integrar um esquema internacional de fraude de investimento, que teria causado prejuízos a dezenas de milhares de vítimas. O grupo operava 20 call centers, com mais de 700 pessoas se passando por consultores financeiros, e chegou a arrecadar mais de 100 milhões de euros por mês. O principal suspeito, um israelense-polaco de 46 anos, foi preso na Polônia e extraditado para a Holanda, onde aguarda julgamento. As investigações revelaram que os fraudadores construíam confiança com as vítimas ao longo do tempo, apresentando plataformas de investimento que mostravam lucros fictícios. Os criminosos persuadiam as vítimas a aumentar seus investimentos, geralmente por meio de transferências de criptomoedas, enquanto mantinham um painel falso de lucros. As autoridades holandesas ligaram pelo menos 550 denúncias de fraude a essa organização criminosa, que operou desde 2021 e utilizou pseudônimos e técnicas para ocultar suas identidades. A polícia acredita que o número de vítimas pode ser muito maior, com perdas médias superiores a 10 mil euros por pessoa.

Um estudo realizado por pesquisadores da KU Leuven analisou 85 das carteiras de criptomoedas mais populares que funcionam como extensões de navegador e descobriu que essas carteiras vazam informações suficientes para vincular e rastrear os usuários. As interações entre as carteiras e os sites podem conectar endereços separados de um mesmo usuário, permitindo que terceiros os sigam de site para site. Além disso, em sites que já possuem um nome ou e-mail, essas falhas podem associar uma identidade real a um perfil de criptomoeda supostamente anônimo. Os pesquisadores identificaram cinco fraquezas de privacidade, sendo a mais crítica a capacidade de vincular endereços separados. A pesquisa também revelou que 36 das 85 carteiras informam quais estão instaladas, mesmo sem conexão ativa. Embora algumas carteiras tenham corrigido problemas após a notificação, a maioria dos fabricantes não reconheceu as falhas como bugs. O estudo destaca a necessidade de melhorias significativas na segurança das carteiras, que atualmente funcionam como projetadas, mas expõem os usuários a riscos de privacidade.

Um ataque cibernético recente comprometeu o repositório do projeto Injective Labs SDK no GitHub, resultando na publicação de um pacote malicioso na npm registry. A versão comprometida, @injectivelabs/sdk-ts@1.20.21, foi lançada em 8 de julho de 2026 e continha uma funcionalidade falsa de telemetria que exfiltrava dados sensíveis de carteiras de criptomoedas, como chaves privadas e frases mnemônicas. O ataque foi realizado por um ator desconhecido que utilizou uma conta de desenvolvedor confiável para introduzir os commits maliciosos. Além disso, a versão comprometida foi publicada em 17 outros pacotes relacionados, aumentando o risco para usuários que não instalaram a biblioteca diretamente. O malware modifica funções legítimas para capturar informações sensíveis sem ser detectado, enviando-as para um servidor remoto. Os usuários que instalaram a versão maliciosa devem atualizar para a versão limpa (1.20.23) e considerar suas chaves como comprometidas. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância constante em ambientes de desenvolvimento.

Recentemente, hackers comprometeram o repositório do projeto Injective Labs no GitHub, publicando um pacote malicioso no Node Package Manager (npm) que visava roubar chaves privadas e frases mnemônicas de carteiras de criptomoedas. A vulnerabilidade foi detectada por empresas de segurança cibernética, incluindo Socket e Ox Security, através da versão 1.20.21 do pacote @injectivelabs/sdk-ts, que possui 50 mil downloads semanais e é amplamente utilizado por desenvolvedores de carteiras de criptomoedas e aplicações DeFi. O ataque começou em 8 de junho, quando o invasor acessou uma conta de um colaborador legítimo e fez alterações suspeitas. Embora o proprietário da conta tenha revertido as mudanças rapidamente, a versão maliciosa já havia sido baixada 310 vezes antes de ser descontinuada. O malware se ativa ao utilizar funções do SDK que geram ou importam chaves de carteira, capturando informações sensíveis e enviando-as para um endpoint público da Injective Labs. Os desenvolvedores afetados são aconselhados a transferir suas criptomoedas para novas carteiras e a rotacionar segredos em seus ambientes.

A campanha de cibersegurança conhecida como Contagious Interview, ligada a atores de ameaça da Coreia do Norte, tem se intensificado com a publicação de 108 pacotes e extensões de navegador maliciosos em plataformas como npm, Packagist, Go e Google Chrome. Os atacantes utilizam táticas de recrutamento para enganar desenvolvedores de software e profissionais do setor de criptomoedas, persuadindo-os a executar códigos maliciosos disfarçados. Desde 2023, a atividade tem se mostrado ativa, comprometendo 1.951 repositórios públicos do GitHub. Os atacantes não utilizam credenciais roubadas, mas sim exploram extensões maliciosas do VS Code ou pacotes npm para comprometer as contas dos mantenedores. O malware, uma variante do BeaverTail, busca arquivos específicos no computador da vítima e insere código JavaScript malicioso, além de modificar o histórico do Git para ocultar suas ações. A última onda de ataques envolve um carregador de malware que se conecta a infraestruturas de blockchain para baixar um segundo estágio de payloads maliciosos. Especialistas recomendam que usuários que instalaram esses pacotes tratem seus ambientes como comprometidos e realizem auditorias em seus repositórios e estações de trabalho.

Pesquisadores de cibersegurança identificaram uma campanha ativa de extensões de navegador, chamada Silent Swap, que visa roubar criptomoedas ao substituir furtivamente endereços de carteiras durante transações. A campanha utiliza instaladores não assinados, observados em variantes .NET e Golang, que implantam uma extensão maliciosa disfarçada de um utilitário benigno chamado ‘Google Notes’. Essa extensão age como um clipper, interceptando e manipulando endereços de carteiras copiadas para a área de transferência, redirecionando os fundos para carteiras controladas por atacantes. A técnica EtherHiding é utilizada para atualizar detalhes do servidor de comando e controle (C2) através da blockchain, permitindo que os atacantes mudem facilmente o domínio sem precisar redeployar o malware. A instalação da extensão é feita de forma clandestina, alterando arquivos de configuração protegidos dos navegadores, como Chrome e Edge, e requer que o modo desenvolvedor esteja ativado, o que pode ser conseguido por meio de engenharia social. A campanha já afetou usuários em vários países, incluindo Brasil e Índia, e representa uma evolução nas táticas de roubo de criptomoedas, com um mapeamento de endereços por vítima sendo uma das inovações mais preocupantes.

Um novo relatório da Infoblox revelou que mais de 236 mil sites fraudulentos estão utilizando templates de golpes de investimento criados com o framework DCloud Uni-App, uma ferramenta de desenvolvimento de aplicativos de código aberto da China. Esses sites enganam usuários com falsas exchanges de criptomoedas, operações de ‘pig-butchering’, redes de phishing via WhatsApp, plataformas de jogos fraudulentas e drenos de carteiras de criptomoedas. A análise indica que os operadores desses sites estão se tornando mais sofisticados, utilizando técnicas para evitar a detecção e centralizando suas operações. Entre os domínios identificados, destaca-se a plataforma RainbowEx, que foi associada a um esquema Ponzi que afetou milhares de pessoas na Argentina. A maioria dos sites fraudulentos está hospedada em provedores legítimos como Cloudflare e Amazon Web Services, o que complica a remoção. O relatório sugere que a utilização do DCloud não é, por si só, um indicativo de má intenção, mas muitos sites fraudulentos compartilham características comuns, como interfaces de corretoras falsas e prompts para drenar carteiras de criptomoedas. A situação representa um risco significativo para usuários e empresas, especialmente em um cenário onde a engenharia social é cada vez mais utilizada para enganar vítimas.

A plataforma Polymarket, um dos maiores mercados de previsão baseado em criptomoedas, anunciou que reembolsará totalmente os clientes que perderam cerca de $3 milhões devido a um ataque cibernético. O incidente ocorreu após a injeção de um script malicioso na interface do usuário, resultado de um ataque à cadeia de suprimentos que afetou um fornecedor terceirizado. Durante o ataque, usuários desavisados foram enganados a aprovar transações fraudulentas no site oficial da Polymarket, embora os servidores e a infraestrutura de backend da empresa não tenham sido comprometidos. A empresa de segurança blockchain PeckShield identificou o ataque como uma campanha de phishing, onde os fundos roubados foram convertidos em Ether. O impacto foi limitado a menos de 15 contas, segundo análises de empresas de inteligência em blockchain. A Polymarket, fundada em 2020 e avaliada em $9 bilhões, oferece previsões sobre diversos eventos, incluindo esportes e resultados políticos, e é uma fonte influente de informações sobre expectativas de mercado.

A plataforma de previsões Polymarket foi alvo de um ataque cibernético que resultou no roubo de aproximadamente US$ 3 milhões em criptomoedas de cerca de 11 usuários. O ataque ocorreu devido à exploração de uma vulnerabilidade em um fornecedor terceirizado, que permitiu a injeção de scripts maliciosos na interface da plataforma. A Polymarket confirmou o incidente em uma postagem na rede social X, informando que já tomou medidas para conter a situação e removeu a dependência afetada, embora não tenha revelado qual fornecedor foi comprometido. A empresa está reembolsando integralmente os usuários afetados, mas não divulgou o número total de vítimas ou o montante exato perdido por cada uma. A reação da comunidade foi crítica, com alguns usuários sugerindo que a Polymarket havia provocado os hackers anteriormente. O ataque destaca a importância da segurança em plataformas que lidam com transações financeiras e a necessidade de vigilância constante em relação a fornecedores terceirizados.

O Departamento de Justiça dos EUA anunciou a apreensão de uma conta de computação em nuvem utilizada por subsidiárias do conglomerado empresarial HuiOne Group, baseado no Camboja. Essas subsidiárias são acusadas de facilitar a transferência de lucros provenientes de fraudes com criptomoedas e outros crimes cibernéticos, permitindo a conversão desses lucros para o setor bancário legítimo sem serem detectados. A conta apreendida hospedava a infraestrutura de backend para as subsidiárias, incluindo a HuiOne Guarantee, que operava um mercado ilícito no Telegram, movimentando bilhões de dólares entre 2021 e 2025. Os serviços oferecidos incluíam dados pessoais e financeiros, serviços de lavagem de dinheiro, desenvolvimento de sites fraudulentos e até ferramentas para facilitar a clonagem de voz e deepfakes. Apesar do encerramento das operações da HuiOne em maio de 2025, novas plataformas surgiram para preencher o vazio deixado. O Tesouro dos EUA também impôs sanções contra o Prince Group, classificado como Organização Criminosa Transnacional, que se beneficiava de operações de fraude e lavagem de dinheiro. A situação destaca a crescente complexidade e a adaptação do crime cibernético, que continua a impactar cidadãos americanos e, potencialmente, brasileiros.

Atacantes estão direcionando suas ações a carteiras de criptomoedas, utilizando um malware que rouba dados do clipboard e possui capacidades de auto-propagação. A campanha, que está ativa desde fevereiro, utiliza arquivos LNK em drives USB para disseminar o malware, que monitora o conteúdo do clipboard e substitui endereços de carteiras de criptomoedas por aqueles controlados pelos atacantes. Além disso, o malware é capaz de capturar frases-semente e chaves privadas, enviando essas informações através da rede Tor. O processo de infecção se inicia quando a vítima abre o arquivo LNK, ativando o malware. Este realiza uma varredura local em busca de arquivos de documentos, ocultando os originais e substituindo-os por atalhos maliciosos. O malware também captura capturas de tela a cada dez segundos e estabelece comunicação com um servidor de comando e controle (C2) via um executável Tor. A Microsoft alerta que os indicadores mais fortes de infecção são comportamentais, recomendando monitorar atividades de processos como wscript.exe e conexões com o localhost:9050. Essa ameaça representa um risco significativo para usuários de criptomoedas, especialmente em um cenário onde a segurança digital é cada vez mais crucial.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.

O FBI dos EUA emitiu um alerta sobre criminosos que utilizam correios para coletar dinheiro de vítimas de fraudes relacionadas a investimentos em criptomoedas, conhecidas como ‘pig butchering’ ou ‘romance baiting’. Essas fraudes geralmente começam com os golpistas contatando suas vítimas por meio de redes sociais, sites de namoro e aplicativos de mensagens, criando um clima de confiança antes de atraí-las para esquemas de investimento falsos. Ao invés de investir, os golpistas desviam o dinheiro para contas sob seu controle. O alerta destaca que, após instituições financeiras legítimas bloquearem transferências suspeitas, os golpistas orientam as vítimas a realizar retiradas em dinheiro pessoalmente, utilizando correios que se identificam por senhas ou números de série de notas. Após a coleta, as vítimas veem um aumento simulado em seus saldos virtuais e são pressionadas a pagar taxas fraudulentas. O FBI recomenda que as pessoas pesquisem plataformas de criptomoedas antes de investir, evitem compartilhar endereços residenciais e denunciem imediatamente qualquer atividade suspeita. Em 2022, os crimes cibernéticos resultaram em perdas de quase 21 bilhões de dólares nos EUA, com fraudes de investimento representando 49% dos incidentes.

As autoridades de segurança desmantelaram o serviço de criptomoedas conhecido como “AudiA6”, que supostamente facilitou a lavagem de mais de 380 milhões de dólares para atores de ransomware e outros cibercriminosos. Segundo a Europol, o AudiA6 funcionou como um hub central de lavagem de dinheiro entre 2022 e 2025, sendo vinculado a mais de 15 investigações internacionais relacionadas a ataques de ransomware. O serviço, que se apresentava como uma “plataforma profissional de mistura de criptomoedas”, aceitava lucros de crimes cibernéticos, movimentava o dinheiro por rotas complexas para ocultar sua origem e devolvia os fundos “limpos” aos usuários em cerca de uma hora, cobrando uma comissão de 3 a 10%. A investigação, que envolveu autoridades de 11 países, resultou na prisão de dois indivíduos na Geórgia, que são considerados administradores do AudiA6 e do fórum underground “Dark2Web”. Além disso, foram apreendidos 25 domínios, 80 veículos e propriedades, e congelados quase 800 mil dólares em criptomoedas. A ação foi facilitada pela prisão de um nacional ucraniano na Polônia, cujos dispositivos ajudaram a identificar outros envolvidos na operação.

O Departamento de Justiça dos EUA (DoJ) anunciou os resultados de uma operação abrangente contra fraudes cibernéticas e de criptomoedas, que teve início em 18 de maio de 2026. A operação, chamada ‘Disruption Week’, resultou na desativação de milhões de contas em redes sociais e e-mails utilizadas por grupos de cibercrime transnacionais na Ásia. Além disso, mais de $3,8 milhões em criptomoedas foram congelados, relacionados à lavagem de dinheiro proveniente de fraudes. A U.S. Attorney Jeanine Ferris Pirro destacou que essas fraudes têm devastado as economias de muitos cidadãos americanos, especialmente os mais vulneráveis. A operação é parte da iniciativa Scam Center Strike Force, que visa desmantelar organizações criminosas envolvidas em fraudes online e tráfico humano. Os esquemas frequentemente envolvem a construção de relacionamentos com as vítimas antes de convencê-las a investir em plataformas fraudulentas, resultando em perdas financeiras significativas. A operação contou com a colaboração de empresas como Apple, Google e Coinbase, além de agências de polícia de vários países. O DoJ alertou que as fraudes com criptomoedas estão crescendo rapidamente, com perdas estimadas em mais de $7,2 bilhões em 2025, um aumento de 24% em relação ao ano anterior.

O Escritório de Controle de Ativos Estrangeiros (OFAC) do Tesouro dos EUA anunciou sanções contra a Nobitex, a maior exchange de criptomoedas do Irã, por facilitar pagamentos relacionados a atividades terroristas. A Nobitex é acusada de ajudar a evadir sanções econômicas e facilitar transações ligadas ao Corpo da Guarda Revolucionária Islâmica (IRGC). Em 2025, a exchange processou mais de 50% de todos os influxos de ativos digitais iranianos, além de permitir que o Banco Central do Irã acessasse centenas de milhões de dólares em stablecoins para estabilizar o valor do rial iraniano. O OFAC também designou executivos da Nobitex, como o presidente Amir Hossein Rad e o CEO Seyed Ali Khoee, e impôs sanções a outras exchanges iranianas. Dados da Chainalysis indicam que o ecossistema de criptomoedas do Irã recebeu quase $7,8 bilhões em 2025, com endereços associados ao IRGC representando mais de 50% do valor recebido no quarto trimestre. As sanções congelam ativos sob jurisdição dos EUA e proíbem negócios com as partes designadas, criando pressão internacional sobre aliados e empresas estrangeiras. Além disso, um grupo de hackers pro-Israel afirmou ter invadido a Nobitex, roubando ativos digitais avaliados em cerca de $90 milhões.

Um relatório recente da Bloomberg indica um aumento alarmante de 75% nos ataques físicos, conhecidos como ‘crypto wrench attacks’, direcionados a detentores de criptomoedas, especialmente os chamados ‘whales’, ou grandes investidores. Esses ataques incluem sequestros e agressões físicas, motivados pela transparência inerente ao blockchain, que permite a identificação de grandes detentores de ativos digitais. Os criminosos veem esses alvos como de baixo risco e alta recompensa, especialmente devido à natureza irreversível das transações em criptomoedas. Em resposta, muitas exchanges e investidores estão intensificando suas medidas de segurança, incluindo a contratação de seguranças e a implementação de protocolos de proteção mais rigorosos. Além disso, a cultura de ostentação entre alguns investidores, que se destacam em conferências e redes sociais, também contribui para a exposição a esses riscos. O aumento dos ataques físicos levanta preocupações significativas sobre a segurança no espaço das criptomoedas, especialmente em um cenário onde muitos casos podem não ser reportados, devido ao medo de represálias ou à natureza delicada das perdas financeiras.

Michele Spagnuolo, engenheiro de segurança da Google, foi acusado de insider trading após lucrar US$ 1,2 milhão utilizando informações confidenciais da empresa. Ele teria acessado dados internos do Google, especificamente do relatório ‘Year in Search’, para fazer apostas na plataforma de previsão descentralizada Polymarket. Spagnuolo, que trabalha na Google desde 2014 e reside na Suíça, usou um pseudônimo, ‘AlphaRaccoon’, para realizar suas apostas com uma precisão quase perfeita em cerca de 25 resultados improváveis. Após a divulgação pública dos dados em 4 de dezembro de 2025, ele recebeu aproximadamente US$ 1,2 milhão em ganhos. O FBI rastreou sua conta até um processador de pagamentos registrado em seu nome. As autoridades alegam que ele moveu os lucros ilegais através de serviços de troca de criptomoedas. O caso destaca a seriedade das violações de confidencialidade corporativa e as consequências legais que podem advir, incluindo penas de até 20 anos de prisão por fraude e lavagem de dinheiro.

Uma nova campanha de cibersegurança, atribuída ao ator de ameaças JINX-0164, tem como alvo organizações de criptomoedas, utilizando engenharia social e malware específico para macOS. Os pesquisadores da Wiz identificaram que o grupo, ativo desde meados de 2025, emprega técnicas sofisticadas para enganar desenvolvedores, oferecendo oportunidades de emprego falsas através de perfis verificados no LinkedIn. Os alvos são direcionados a um domínio fraudulento que simula um provedor de teleconferência, onde são induzidos a baixar um programa malicioso.

Nos últimos anos, as operações de roubo de criptomoedas evoluíram significativamente, passando de páginas de phishing isoladas para uma economia subterrânea estruturada em torno de plataformas conhecidas como ‘Drainer-as-a-Service’ (DaaS). Diferente das operações tradicionais de malware, os draineres utilizam engenharia social para atrair vítimas a sites falsos de criptomoedas, NFTs ou DeFi, onde são induzidas a conectar suas carteiras e aprovar transações maliciosas. Uma análise de dados coletados de fóruns underground revelou que essas operações estão se profissionalizando, com foco em crescimento de afiliados e automação. O modelo DaaS permite que operadores mantenham a infraestrutura de drenagem enquanto afiliados geram tráfego por meio de links de phishing e contas de redes sociais comprometidas. O estudo também destacou a resiliência operacional do Lucifer, um exemplo de DaaS, que se adaptou a banimentos e suspensões de serviços, utilizando descentralização para manter suas operações. A popularidade dos draineres se deve à natureza líquida e rápida das criptomoedas, além da confusão que muitos usuários têm em relação às permissões de carteira, tornando-os alvos fáceis para ataques. Essa situação representa um risco significativo para organizações que lidam com criptomoedas, exigindo atenção especial de equipes de segurança.

O FBI revelou que os americanos perderam mais de US$ 388 milhões em 2025 devido a fraudes envolvendo quiosques de criptomoedas, também conhecidos como ATMs de Bitcoin. Esses terminais eletrônicos permitem a compra e venda de ativos digitais usando dinheiro ou cartões de débito, mas têm sido explorados por cibercriminosos que instruem as vítimas a depositar dinheiro, que é então transferido para carteiras controladas pelos atacantes. O relatório do FBI indica um aumento de quase 60% nas perdas em comparação ao ano anterior, com mais da metade das reclamações vindo de indivíduos com mais de 50 anos. Os estados de Minnesota, Indiana e Tennessee já baniram esses quiosques, enquanto o FBI recomenda medidas de proteção, como não enviar dinheiro a desconhecidos e verificar a autenticidade de solicitações de pagamento. O relatório de crimes cibernéticos do FBI também destacou que, no total, mais de 1 milhão de reclamações foram registradas, resultando em perdas de quase US$ 21 bilhões em crimes cibernéticos em geral.

O principal administrador do Dream Market, Owe Martin Andresen, foi indiciado nos Estados Unidos por lavagem de dinheiro, enfrentando até 20 anos de prisão por cada uma das 12 acusações. Arrestado na Alemanha, ele é acusado de movimentar milhões de dólares de carteiras de criptomoedas do mercado, que operou entre 2013 e 2019, facilitando a venda de substâncias ilegais como cocaína e fentanil. A investigação revelou que, entre agosto de 2023 e abril de 2025, Andresen teria lavado mais de 2 milhões de dólares, utilizando um serviço de criptomoedas para comprar barras de ouro, que foram enviadas para sua residência na Alemanha. As autoridades alemãs também encontraram 1,7 milhão de dólares em barras de ouro e 23 mil dólares em dinheiro durante buscas em sua casa. O Dream Market, que chegou a ter cerca de 100 mil anúncios, foi um dos maiores mercados da dark web, especialmente após o fechamento de concorrentes como Hansa e AlphaBay.

Um homem de 20 anos da Califórnia, Marlon Ferro, foi condenado a 78 meses de prisão por seu papel em um esquema criminoso que roubou mais de 250 milhões de dólares em criptomoedas. Ferro, conhecido online como GothFerrari, foi preso em maio de 2025, portando armas e documentos falsos. Ele se declarou culpado em outubro e foi condenado a pagar 2,5 milhões de dólares em restituição, além de três anos de liberdade supervisionada. O grupo criminoso, ativo entre 2023 e 2025, utilizou engenharia social para enganar vítimas e obter acesso a carteiras digitais. Quando as vítimas armazenavam fundos em carteiras de hardware, Ferro realizava invasões residenciais para roubar esses dispositivos. Em um caso, ele roubou uma carteira contendo cerca de 100 Bitcoins, avaliados em mais de 5 milhões de dólares na época. O esquema envolveu também a lavagem de dinheiro por meio de exchanges de criptomoedas e a compra de bens de luxo. Além de Ferro, outros membros do grupo também foram condenados, totalizando 14 suspeitos envolvidos em uma conspiração de RICO, que resultou em perdas significativas para as vítimas. O caso destaca a combinação de fraudes online sofisticadas com métodos tradicionais de roubo, evidenciando a necessidade de vigilância e proteção contra tais ameaças.

Uma operação internacional coordenada entre autoridades dos EUA e da China resultou na prisão de pelo menos 276 suspeitos e no fechamento de nove centros de fraudes relacionados a investimentos em criptomoedas, que visavam cidadãos americanos. A ação foi liderada pela Polícia de Dubai, em colaboração com o FBI e o Ministério da Segurança Pública da China. Os acusados, incluindo indivíduos de Mianmar e Indonésia, enfrentam acusações de fraude e lavagem de dinheiro nos EUA. Os golpistas utilizavam táticas conhecidas como ‘pig butchering’ e ‘romance baiting’, enganando vítimas a investirem em plataformas fraudulentas de criptomoedas. Após a transferência dos fundos, os ativos eram lavados para contas de criptomoedas dos fraudadores. A operação também resultou na notificação de quase 9.000 vítimas e na recuperação de aproximadamente $562 milhões. Além disso, um senador cambojano foi sancionado por seu envolvimento em redes de fraudes cibernéticas. A situação destaca a crescente interconexão entre fraudes financeiras e tráfico humano, com trabalhadores sendo forçados a participar de esquemas fraudulentos sob condições desumanas.

Uma operação conjunta entre autoridades dos EUA e da China resultou na prisão de pelo menos 276 suspeitos e no fechamento de nove centros de fraude em investimentos em criptomoedas. A ação, liderada pela Polícia de Dubai, focou em redes criminosas que operavam esquemas de ‘pig-butchering’, onde golpistas criam laços de confiança com as vítimas através de amizades ou romances falsos, levando-as a plataformas de investimento fraudulentas que esvaziam suas contas. Os documentos judiciais revelam que as vítimas perderam imediatamente o controle dos fundos transferidos, que eram lavados por meio de contas de criptomoedas adicionais. Entre os presos, destaca-se Thet Min Nyi, acusado de ser gerente de uma das operações fraudulentas. A operação também levou à prisão de outros indivíduos ligados a diferentes grupos de fraude. O FBI identificou várias vítimas nos EUA, com perdas que somam milhões de dólares. Em 2025, a fraude em investimentos representou 49% de todos os incidentes relacionados a golpes, resultando em perdas de US$ 8,6 bilhões. A criação da Scam Center Strike Force pelos EUA visa desmantelar redes de fraudes em criptomoedas, refletindo a crescente preocupação com a segurança cibernética nesse setor.

Autoridades da Áustria e da Albânia desmantelaram uma rede criminosa acusada de operar um esquema de fraude em investimentos em criptomoedas, resultando em perdas estimadas em mais de €50 milhões (cerca de $58,5 milhões) para vítimas em todo o mundo. A ação conjunta, iniciada em junho de 2023 e apoiada pela Europol e Eurojust, culminou na prisão de 10 suspeitos e na realização de buscas em três call centers e nove residências particulares em 17 de abril. Durante a operação, foram apreendidos €891.735 em dinheiro, 443 computadores, 238 celulares, 6 laptops e diversos dispositivos de armazenamento de dados para exame forense.

Pesquisadores de cibersegurança descobriram um código malicioso em um pacote npm chamado ‘@validate-sdk/v2’, que foi introduzido como dependência em um projeto do modelo de linguagem Claude Opus da Anthropic. Este pacote, que deveria funcionar como um kit de desenvolvimento de software para validação e geração aleatória segura, na verdade, tem a capacidade de roubar segredos sensíveis do ambiente comprometido. A campanha de malware, denominada PromptMink, está associada a um ator de ameaças da Coreia do Norte conhecido como Famous Chollima, que já esteve envolvido em outras campanhas fraudulentas. O ataque utiliza uma abordagem em camadas, onde pacotes de primeira camada não contêm código malicioso, mas importam pacotes de segunda camada que realmente executam as funções maliciosas. Isso permite que os atacantes acessem carteiras de criptomoedas dos usuários. Além disso, a campanha evoluiu para atingir o Python Package Index (PyPI) e utiliza técnicas de ofuscação e typosquatting para evitar a detecção. O uso de pacotes legítimos para comunicação de comando e controle também foi observado, aumentando a complexidade e a eficácia das operações maliciosas.

Pesquisadores de cibersegurança descobriram um conjunto de aplicativos maliciosos na Apple App Store que se passam por carteiras de criptomoedas populares, com o objetivo de roubar frases de recuperação e chaves privadas desde o outono de 2025. Esses aplicativos, conhecidos como FakeWallet, imitam carteiras como Bitpie, Coinbase e MetaMask, e redirecionam os usuários para páginas de navegador que se assemelham à App Store, distribuindo versões trojanizadas de carteiras legítimas. Embora muitos desses aplicativos tenham sido removidos pela Apple após a divulgação, a campanha representa uma evolução nas táticas de roubo de criptomoedas, pois os aplicativos estão disponíveis para download diretamente da App Store, especialmente para usuários com contas configuradas para a China. Os atacantes utilizam ícones semelhantes aos originais, mas com erros de digitação intencionais nos nomes para enganar os usuários. Além disso, a campanha pode estar ligada a um grupo de ameaças que já atuou anteriormente, utilizando técnicas sofisticadas de phishing para capturar frases mnemônicas e comprometer carteiras de criptomoedas. A situação é preocupante, pois o roubo de ativos digitais pode ter consequências financeiras significativas para os usuários.

O cenário de cibersegurança continua a ser alarmante, com uma série de incidentes recentes que destacam a vulnerabilidade das infraestruturas digitais. Um dos principais eventos foi o roubo de criptomoedas de $290 milhões do projeto KelpDAO, supostamente orquestrado por atores de ameaças da Coreia do Norte, que comprometeram a infraestrutura de comunicação do LayerZero. Além disso, falhas críticas em plataformas de automação residencial, como MajorDoMo, estão sendo ativamente exploradas, com vulnerabilidades que permitem execução remota de código e injeção de backdoors.

Um conjunto de 26 aplicativos maliciosos foi identificado na Apple App Store, disfarçando-se como carteiras populares como Metamask, Coinbase, Trust Wallet e OneKey. Esses aplicativos têm como objetivo roubar frases de recuperação ou seed phrases, drenando os ativos em criptomoedas dos usuários. Os atacantes utilizaram métodos como typosquatting e branding falso para enganar usuários na China, publicando os aplicativos como jogos ou calculadoras, na tentativa de contornar as restrições do país. Os pesquisadores da Kaspersky nomearam essa campanha de FakeWallet, associando-a à operação SparkKitty. Ao serem abertos, os aplicativos redirecionam os usuários para páginas de phishing que imitam portais legítimos de serviços de criptomoedas. Essas páginas convencem as vítimas a baixar aplicativos de carteira trojanizados, que interceptam as frases mnemônicas durante a configuração ou recuperação da carteira, criptografando-as e enviando-as para os atacantes. Embora a campanha tenha como alvo principal usuários na China, o malware não possui restrições geográficas, podendo afetar usuários globalmente. A Kaspersky recomenda que os detentores de criptomoedas verifiquem sempre o editor dos aplicativos que baixam, mesmo em lojas oficiais. Após a divulgação responsável da Kaspersky, a Apple removeu todos os 26 aplicativos da App Store.

Tyler Robert Buchanan, um britânico de 24 anos, se declarou culpado nos Estados Unidos por fraudes eletrônicas e roubo de identidade agravado. Ele é considerado o líder do coletivo de cibercrime Scattered Spider, que, entre setembro de 2021 e abril de 2023, teria roubado pelo menos 8 milhões de dólares em criptomoedas ao realizar ataques de phishing via SMS em diversas empresas. As organizações afetadas abrangem setores como entretenimento, telecomunicações e tecnologia. Os ataques consistiam no envio de mensagens de texto que se passavam por comunicações legítimas das empresas, levando os funcionários a fornecer informações confidenciais. Com esses dados, os criminosos conseguiram sequestrar contas de e-mail e realizar ataques de troca de SIM, transferindo milhões para carteiras que controlavam. Buchanan foi preso em junho de 2024 na Espanha e enfrenta uma pena máxima de 22 anos de prisão. Outros três cúmplices também foram acusados e podem enfrentar até 20 anos de prisão. O grupo Scattered Spider é conhecido por suas táticas de engenharia social e parcerias com gangues de ransomware, aumentando a preocupação sobre a segurança cibernética em nível global.

A exchange de criptomoedas Grinex, incorporada no Quirguistão e sancionada pelo Reino Unido e pelos EUA, anunciou a suspensão de suas operações após um ataque cibernético que resultou no roubo de 13,74 milhões de dólares. A empresa afirmou que o ataque, ocorrido em 15 de abril de 2026, possui características que sugerem a participação de agências de inteligência estrangeiras, visando desestabilizar a soberania financeira da Rússia. O ataque resultou na perda de mais de 1 bilhão de rublos em fundos de usuários. Grinex é considerada uma rebranding da Garantex, que já havia sido sancionada por lavagem de dinheiro. O roubo foi realizado através de uma série de transações que evitaram a detecção e o congelamento dos ativos. A análise de blockchain revelou que os fundos roubados foram rapidamente convertidos em tokens não congeláveis, uma tática comum entre criminosos para lavar dinheiro. A situação levanta questões sobre a segurança das exchanges de criptomoedas e a possibilidade de operações de bandeira falsa, dada a natureza do ataque e o histórico da Grinex.

A exchange de criptomoedas Grinex, baseada no Quirguistão, suspendeu suas operações após um ataque cibernético que resultou no roubo de US$ 13,7 milhões. Os fundos foram retirados de carteiras de usuários russos, uma vez que a plataforma facilita operações de troca entre negócios e indivíduos da Rússia. Grinex, que é considerada uma rebranding da exchange russa Garantex, já havia sido alvo de sanções do Departamento do Tesouro dos EUA por suas ligações com atividades ilícitas. O ataque, segundo a Grinex, foi realizado por agentes de inteligência estrangeiros com recursos tecnológicos avançados, visando diretamente a soberania financeira da Rússia. A análise da blockchain revelou que os fundos roubados foram transferidos para endereços TRON e Ethereum e convertidos em criptomoedas. Além disso, a TRM Labs identificou um segundo ataque em outra exchange, a TokenSpot, que também possui vínculos com Grinex. Embora a Grinex tenha atribuído o ataque a agências de inteligência ocidentais, não foram apresentados dados técnicos que comprovassem essa alegação.

Um aplicativo malicioso do Ledger Live para macOS, disponível na Apple App Store, causou perdas de aproximadamente US$ 9,5 milhões em criptomoedas para 50 vítimas em poucos dias. Os usuários que baixaram o aplicativo falso foram enganados a inserir suas frases de recuperação, permitindo que os atacantes acessassem totalmente suas carteiras e transferissem ativos digitais para endereços externos sob seu controle. O investigador de blockchain ZachXBT relatou que os atacantes utilizaram diversos endereços de carteira para receber fundos em várias blockchains, incluindo Bitcoin, Ethereum, Tron, Solana e Ripple. Os valores roubados foram lavados através de mais de 150 endereços de depósito na KuCoin, uma plataforma de câmbio, que está sob suspeita de violar leis de combate à lavagem de dinheiro. Embora a Apple tenha removido o aplicativo após múltiplos relatos de usuários, 50 pessoas já haviam perdido suas criptomoedas. É importante ressaltar que a Ledger oferece um aplicativo para Mac em seu site, mas não na App Store, onde apenas uma versão compatível com iOS está disponível. Esse incidente destaca a vulnerabilidade dos usuários a aplicativos maliciosos e a necessidade de cautela ao baixar softwares relacionados a criptomoedas.

Uma ação internacional de combate à fraude, liderada pela Agência Nacional do Crime do Reino Unido (NCA), revelou mais de 20.000 vítimas de fraudes com criptomoedas no Canadá, Reino Unido e Estados Unidos. A operação, chamada ‘Operação Atlantic’, ocorreu no mês passado e envolveu a NCA, o Serviço Secreto dos EUA, a Polícia Provincial de Ontário e a Comissão de Valores Mobiliários de Ontário, além de parceiros do setor privado. Durante a operação, foram congelados mais de 12 milhões de dólares em lucros criminosos provenientes de ataques de ‘phishing de aprovação’, onde golpistas enganam as vítimas para obter acesso às suas carteiras de criptomoedas. Também foram identificados mais de 45 milhões de dólares em criptomoedas roubadas relacionadas a esquemas de fraude em todo o mundo. A NCA destacou que a colaboração entre o setor público e privado foi fundamental para o sucesso da operação, que ajudou a proteger milhares de vítimas e interromper redes de fraude. Além disso, o FBI, em uma operação paralela chamada ‘Operação Level Up’, identificou mais de 8.000 vítimas de fraudes de investimento em criptomoedas, com perdas estimadas em mais de 511 milhões de dólares. O relatório de crimes na internet de 2025 do FBI revelou um aumento significativo nas queixas relacionadas a fraudes com criptomoedas, totalizando 61.559 reclamações e perdas de 7,228 bilhões de dólares em 2024.

Uma vulnerabilidade crítica foi descoberta e já corrigida no EngageLab SDK, um kit de desenvolvimento de software amplamente utilizado em aplicativos Android, que poderia ter colocado em risco milhões de usuários de carteiras de criptomoedas. Segundo a equipe de pesquisa de segurança da Microsoft Defender, essa falha permitia que aplicativos no mesmo dispositivo contornassem a sandbox de segurança do Android, obtendo acesso não autorizado a dados privados. O EngageLab SDK, que oferece um serviço de notificações push, foi integrado em muitos aplicativos do ecossistema de criptomoedas, totalizando mais de 30 milhões de instalações. A vulnerabilidade, identificada na versão 4.5.4 do SDK, é classificada como uma vulnerabilidade de redirecionamento de intent, onde um aplicativo malicioso poderia manipular intents para acessar dados sensíveis de outros aplicativos. Embora não haja evidências de exploração maliciosa, a Microsoft recomenda que os desenvolvedores atualizem para a versão mais recente do SDK para evitar riscos futuros. Este caso destaca como falhas em SDKs de terceiros podem ter implicações de segurança em larga escala, especialmente em setores de alto valor como o gerenciamento de ativos digitais.

A Bitcoin Depot, que opera uma das maiores redes de caixas eletrônicos de Bitcoin, sofreu um ataque cibernético que resultou no roubo de aproximadamente 50,903 Bitcoins, avaliados em cerca de US$ 3,665 milhões. O incidente foi descoberto em 23 de março de 2026, quando a empresa detectou atividades suspeitas em seus sistemas de TI. Apesar de ter ativado rapidamente seus protocolos de resposta a incidentes e notificado as autoridades, os atacantes conseguiram roubar credenciais de contas de liquidação de ativos digitais antes que o acesso fosse bloqueado. A empresa afirmou que o incidente foi contido ao seu ambiente corporativo e não afetou as plataformas ou dados dos clientes. Embora a Bitcoin Depot tenha cobertura de seguro para ataques cibernéticos, a empresa alertou que isso pode não cobrir todas as perdas resultantes do ataque. Este não é o primeiro incidente de segurança da empresa; em 2024, quase 26,000 pessoas foram notificadas sobre um vazamento de dados que expôs informações pessoais. O ataque à Bitcoin Depot destaca a crescente vulnerabilidade das empresas no setor de criptomoedas e a necessidade de medidas de segurança robustas.

Um ataque cibernético ocorrido em 1º de abril de 2026 resultou no roubo de US$ 285 milhões de uma exchange descentralizada baseada em Solana, revelando uma operação de engenharia social meticulosamente planejada pela Coreia do Norte. O grupo de hackers, conhecido como UNC4736, é associado a diversas campanhas de roubo no setor de criptomoedas desde 2018. A análise da Drift, a exchange atacada, indica que o ataque foi o resultado de meses de interação com colaboradores da empresa, onde os atacantes, disfarçados como uma empresa de trading, estabeleceram relações de confiança. Durante esse período, eles conseguiram integrar um Ecosystem Vault na plataforma, o que facilitou o acesso a ativos criptográficos. O ataque pode ter sido realizado através de dois vetores principais: a clonagem de um repositório de código malicioso e o download de um aplicativo de carteira comprometido. A investigação também destaca a evolução do ecossistema de malware da Coreia do Norte, que se tornou mais fragmentado e resistente a atribuições, dificultando a identificação de suas operações. Este incidente ressalta a necessidade de vigilância constante e medidas de segurança robustas no setor de fintech e criptomoedas.

No dia 1º de abril de 2026, a exchange descentralizada Drift, baseada em Solana, sofreu um ataque que resultou no roubo de aproximadamente $285 milhões. O ataque foi realizado por um ator malicioso que obteve acesso não autorizado ao Drift Protocol, utilizando uma técnica inovadora envolvendo ‘durable nonces’. Essa abordagem permitiu a pré-assinatura de transações, atrasando sua execução e facilitando a apropriação das permissões administrativas do Conselho de Segurança da plataforma. Importante ressaltar que o ataque não explorou vulnerabilidades nos contratos inteligentes da Drift, nem houve comprometimento de frases-semente. Em vez disso, os atacantes manipularam aprovações de transações, possivelmente através de engenharia social, para executar uma transferência administrativa maliciosa rapidamente. O incidente, que começou a ser preparado em 23 de março, está sendo investigado em colaboração com várias empresas de segurança e autoridades. Relatórios indicam que o ataque pode estar ligado a grupos de hackers da Coreia do Norte, que têm um histórico de roubo de criptomoedas para financiar programas de armas. A evolução das técnicas de engenharia social, aliada ao uso crescente de inteligência artificial, amplia o escopo das ameaças, tornando desenvolvedores e colaboradores de projetos alvos potenciais.

Pesquisadores de cibersegurança descobriram uma nova versão do malware SparkCat nas lojas de aplicativos da Apple e Google, mais de um ano após sua primeira detecção. Este trojan se disfarça em aplicativos aparentemente inofensivos, como mensageiros corporativos e serviços de entrega de alimentos, enquanto escaneia silenciosamente as galerias de fotos das vítimas em busca de frases de recuperação de carteiras de criptomoedas. A empresa russa Kaspersky identificou dois aplicativos infectados na App Store e um no Google Play, com foco em usuários de criptomoedas na Ásia. A variante para iOS se destaca por buscar frases mnemônicas em inglês, o que amplia seu alcance potencial. A versão para Android, por sua vez, apresenta várias camadas de ofuscação e busca palavras-chave em japonês, coreano e chinês. O SparkCat utiliza um modelo de reconhecimento óptico de caracteres (OCR) para extrair imagens que contêm frases de recuperação de carteiras e enviá-las a servidores controlados por atacantes. As melhorias recentes indicam que o malware está em evolução contínua, reforçando a necessidade de soluções de segurança para dispositivos móveis.

Jonathan Spalletta, um homem de 36 anos de Maryland, foi acusado de roubar mais de US$ 53 milhões após invadir a exchange de criptomoedas Uranium Finance em duas ocasiões. A primeira invasão ocorreu em abril de 2021, quando ele explorou uma falha no código do contrato inteligente da exchange, drenando cerca de US$ 1,4 milhão do fundo de liquidez. Após a primeira invasão, Spalletta extorquiu a Uranium, exigindo quase US$ 386 mil como um falso ‘bug bounty’ em troca do retorno de parte dos fundos. Na segunda invasão, ele aproveitou um erro de codificação que permitiu retirar quase 90% dos ativos da exchange, totalizando aproximadamente US$ 53,3 milhões. Spalletta utilizou um mixer de criptomoedas para lavar os ativos roubados e gastou os lucros em itens de alto valor, como cartas de Magic: The Gathering e um conjunto completo de cartas Pokémon. Ele enfrenta até 30 anos de prisão por fraude e lavagem de dinheiro. Este caso destaca a vulnerabilidade das exchanges descentralizadas e a necessidade de medidas de segurança robustas para proteger os ativos dos usuários.

O Escritório de Relações Exteriores, Comunidade e Desenvolvimento do Reino Unido (FCDO) impôs sanções ao Xinbi, um mercado online em língua chinesa que comercializa dados roubados e equipamentos de internet via satélite, supostamente utilizado por redes de fraude no Sudeste Asiático. O Xinbi, que opera via Telegram, é acusado de ajudar atores de ameaças da Coreia do Norte a lavar criptomoedas obtidas em grandes roubos. Entre 2021 e 2025, o mercado processou mais de $19,9 bilhões, facilitando desde negociações não licenciadas até a venda de bancos de dados pessoais roubados. As sanções também atingem o #8 Park, um grande centro de fraudes em Camboja, e a Legend Innovation Co, operadora do local. O FCDO busca isolar o Xinbi do ecossistema legítimo de criptomoedas, dificultando suas operações financeiras. O governo britânico enfatiza que não tolerará abusos de direitos humanos associados a esses centros de fraude, que frequentemente coagem trabalhadores a participar de esquemas criminosos globais, como fraudes de investimento em criptomoedas. As sanções são parte de uma ação mais ampla contra redes criminosas que exploram pessoas vulneráveis, com o Reino Unido liderando esforços internacionais para combater o financiamento ilícito.