70 hacks e fraudes em 7 dias: 18 milhões de dólares roubados segundo a SEAL

Uma semana comum. A Security Alliance (SEAL) registrou 70 incidentes de segurança no ecossistema cripto de 13 a 20 de outubro. O maior prejuízo foi causado pelos Ledgers comprometidos vendidos pela CryptoBilis: três novas vítimas e 9,3 milhões de dólares desaparecidos em sete dias.

O coletivo que opera a linha de emergência SEAL 911 contabiliza a semana em mais de 18 milhões de dólares em suas oito principais categorias de perdas. Adicione uma centena de ETH e alguns BTC. No programa: frases-semente roubadas, assaltos físicos e falsas entrevistas de emprego conduzidas de Pyongyang.
Os pontos-chave deste artigo:

• A Security Alliance registrou 70 incidentes de segurança no setor cripto em uma semana, com perdas superiores a 18 milhões de dólares.
• Os Ledgers comprometidos vendidos pela CryptoBilis causaram perdas de 9,3 milhões de dólares, apesar de uma investigação em andamento e alertas de segurança.

Quem é a SEAL e por que estamos divulgando seu trabalho

A Security Alliance não é uma empresa de auditoria nem uma empresa de segurança que vende seus serviços. É uma organização sem fins lucrativos lançada no início de 2024 pela iniciativa de samczsun, um pesquisador de segurança que passou pela Paradigm, que reúne várias centenas de voluntários: pesquisadores, desenvolvedores, investigadores on-chain, juristas. Sua ferramenta mais conhecida é o SEAL 911, uma linha de emergência acessível pelo Telegram, onde um hacker ético assume em poucos minutos quando um protocolo é esvaziado ou quando um indivíduo vê seus fundos desaparecerem.

O coletivo também publica o Safe Harbor Agreement, um quadro jurídico que permite que os white hats intervenham durante um ataque para proteger os fundos, e mantém listas atualizadas de domínios de phishing e endereços fraudulentos. É desse trabalho meticuloso, visível dia após dia no gráfico abaixo, que surgem todos os números deste artigo. Observáveis e incidentes coletados dia a dia pela SEAL de 13 a 20 de outubro. Fonte: Security Alliance (SEAL)

Deixemos claro: o Journal du Coin não tem nenhuma parceria com a SEAL, e ninguém nos pediu para falar sobre isso. Estamos divulgando seu trabalho porque é de utilidade pública, e que esses relatórios semanais são, até onde sabemos, a fonte mais confiável sobre o que realmente está acontecendo em termos de segurança. Em um ecossistema onde ninguém reembolsa você, a SEAL se tornou indispensável. Se você for vítima de um roubo ou hack, ou se suspeitar que um dispositivo foi comprometido, o reflexo é simples: securityalliance.org/sos ou o bot do Telegram @seal_911_bot, gratuitamente, a qualquer hora.

Ledger e CryptoBilis: o implant continua esvaziando as wallets

Você pensou que o caso estava resolvido? Não está. Os três relatos recebidos pela SEAL esta semana somam sozinhos 9,3 milhões de dólares, ou seja, mais de 3 milhões por vítima em média. Para memória, a Ledger abriu sua investigação em 9 de outubro, confirmou em 10 a presença de um implant de hardware não autorizado no dispositivo de um cliente, e então, em 11, vinculou todas as perdas relatadas aos dispositivos vendidos por esse revendedor malaio.

A atualização técnica publicada em 13 de outubro pelo Ledger Donjon descreve um mecanismo de uma simplicidade cruel. O módulo alojado na caixa lê a tela durante a configuração (o momento em que as 24 palavras da frase de recuperação aparecem). Ele as transmite então por rede móvel graças a uma eSIM. O Secure Element, o chip seguro que assina as transações, permanece intacto. O << Genuine Check >> do Ledger valida, portanto, o dispositivo como autêntico, sem conseguir detectar o implante.

O fabricante recomenda nunca inicializar um dispositivo comprado desse revendedor e mover seus fundos para uma nova carteira com uma nova seed se isso já foi feito. O problema agora ultrapassa o Sudeste Asiático. Um cliente alemão relatou um dispositivo comprometido comprado na MediaMarkt, sem perda de fundos até este ponto, e a loja retirou os Ledgers de suas prateleiras em todos os seus países.

Frases seed e ataques com chave inglesa, o fator humano antes do código

Com 25 casos em 70, a compromissão da seed phrase continua sendo, de longe, a categoria mais frequente do relatório SEAL. A fatura da semana atinge 3,86 milhões de dólares, 64,5 ETH e 0,3 BTC. Uma seed phrase são essas 12 ou 24 palavras que dão acesso a todos os fundos de uma carteira. Quem as obtém se torna proprietário. As tomadas de controle de contas adicionam 1,6 milhão de dólares ao contador. Os 70 incidentes da semana por categoria: a compromissão da seed phrase supera todo o resto. Fonte: Security Alliance (SEAL)

Os ataques com chave inglesa também figuram na lista com duas vítimas abordadas pessoalmente e 1,22 milhão de dólares roubados. O SEAL especifica que essas agressões físicas estão aumentando. O termo se refere ao roubo de criptomoedas sob ameaça, quando a chave inglesa substitui o malware. Os leitores franceses conhecem o assunto: a polícia judiciária já contava 41 sequestros de criptomoedas na França em meados de abril de 2026.

No lado dos protocolos, o SEAL contabiliza nove relatórios. Seis compromissões custaram 2 milhões de dólares e 37,44 ETH, incluindo dois exploits de 1 milhão cada. Uma tomada de controle de infraestrutura fez perder 32.400 dólares e 5 BTC. E então há este caso de ameaça interna, quase cômico se não fosse tão grave. Um colaborador adicionou seu próprio endereço como signatário de um multisig, essa carteira que exige várias validações para mover os fundos.

Falsos Zoom e falsos recrutadores, a Coreia do Norte faz uma grande captura

Os grupos norte-coreanos fizeram cinco vítimas por 260.000 dólares. Três delas perderam 86.000 dólares na armadilha << Entrevista Contagiosa >> (uma falsa entrevista de emprego onde o candidato instala um malware acreditando estar passando por um teste técnico). Uma compromissão de carteira ainda não vinculada a uma campanha específica representa os 174.000 dólares restantes.

Mais preocupante para os desenvolvedores, o malware Polin Rider foi detectado em 13 dos 928 depósitos de um programa de recompensas de código aberto, relata o SEAL. Nenhuma perda foi relatada até este ponto. O grupo UNC1069 também registrou novos domínios imitando serviços de videoconferência. E um conjunto de intrusão ainda não atribuído, chamado SINT-69, continua a produzir em massa sites falsos do Zoom e Teams com nomes como zoomwweb ou teamlives.

O modo de operação não muda. Um contato lhe propõe uma chamada, o link redireciona para uma página que solicita uma << atualização >> do software de videoconferência, e essa atualização esvazia sua carteira. Verifique o nome de domínio antes de instalar qualquer coisa. Durante a semana, a SEAL coletou 2.393 domínios de phishing, publicou 2.437 indicadores de comprometimento e listou 155 carteiras.

A Ledger ainda não comunicou um balanço oficial do número de dispositivos comprometidos nem do montante total roubado, que classifica como << limitado >>. Os investigadores on-chain, por sua vez, já estão acompanhando 103 milhões de dólares em saques através do Tornado Cash e Zcash, e os três casos adicionados esta semana pela SEAL aumentam ainda mais a conta.