70 hacks e fraudes em 7 dias: 18 milhões de dólares roubados segundo a SEAL

Uma semana comum. A Security Alliance (SEAL) registou 70 incidentes de segurança no ecossistema cripto de 13 a 20 de outubro. O maior prejuízo é atribuído aos Ledgers comprometidos vendidos pela CryptoBilis: três novas vítimas e 9,3 milhões de dólares desaparecidos em sete dias.

O coletivo que opera a linha de emergência SEAL 911 estima que a semana totalizou mais de 18 milhões de dólares nas suas oito principais categorias de perdas. Adicione uma centena de ETH e alguns BTC. Na agenda: frases-semente roubadas, assaltos físicos e falsas entrevistas de emprego conduzidas a partir de Pyongyang.
Os pontos-chave deste artigo:

• A Security Alliance registou 70 incidentes de segurança no setor cripto em uma semana, com perdas superiores a 18 milhões de dólares.
• Os Ledgers comprometidos vendidos pela CryptoBilis causaram perdas de 9,3 milhões de dólares, apesar de uma investigação em curso e avisos de segurança.

Quem é a SEAL, e por que divulgamos seu trabalho

A Security Alliance não é uma empresa de auditoria nem uma empresa de segurança que vende seus serviços. É uma organização sem fins lucrativos lançada no início de 2024 por iniciativa de samczsun, um pesquisador de segurança que passou pela Paradigm, que reúne várias centenas de voluntários: pesquisadores, desenvolvedores, investigadores on-chain, juristas. Sua ferramenta mais conhecida é o SEAL 911, uma linha de emergência acessível pelo Telegram, onde um hacker ético assume em poucos minutos quando um protocolo é esvaziado ou quando um indivíduo vê seus fundos desaparecerem.

O coletivo também publica o Safe Harbor Agreement, um quadro jurídico que permite que os white hats intervenham durante um ataque para proteger os fundos, e mantém listas atualizadas de domínios de phishing e endereços fraudulentos. É desse trabalho meticuloso, visível dia após dia no gráfico abaixo, que surgem todos os números deste artigo. Observáveis e incidentes coletados dia a dia pela SEAL de 13 a 20 de outubro. Fonte: Security Alliance (SEAL)

Deixemos claro: o Journal du Coin não tem nenhuma parceria com a SEAL, e ninguém nos pediu para falar sobre isso. Divulgamos seu trabalho porque é de utilidade pública, e esses relatórios semanais são, até onde sabemos, a fonte mais confiável sobre o que realmente acontece em termos de segurança. Em um ecossistema onde ninguém reembolsa você, a SEAL tornou-se indispensável. Se você for vítima de um roubo ou hack, ou se suspeitar que um dispositivo foi comprometido, o reflexo é simples: securityalliance.org/sos ou o bot do Telegram @seal_911_bot, gratuitamente, a qualquer hora.

Ledger e CryptoBilis: o implant continua a esvaziar as wallets

Você pensou que o caso estava resolvido? Não está. Os três relatos recebidos pela SEAL esta semana somam sozinhos 9,3 milhões de dólares, ou seja, mais de 3 milhões por vítima em média. Para memória, a Ledger abriu sua investigação em 9 de outubro, confirmou em 10 a presença de um implant de hardware não autorizado no dispositivo de um cliente, e então, em 11, vinculou todas as perdas relatadas aos dispositivos vendidos por esse revendedor malaio.

A atualização técnica publicada a 13 de outubro pelo Ledger Donjon descreve um mecanismo de uma simplicidade cruel. O módulo alojado na caixa lê o ecrã durante a configuração (o momento em que as 24 palavras da frase de recuperação aparecem). Em seguida, transmite-as através de rede móvel graças a uma eSIM. O Secure Element, o chip seguro que assina as transações, permanece intacto. O << Genuine Check >> do Ledger valida, portanto, o dispositivo como autêntico, sem conseguir detectar o implante.

O fabricante recomenda nunca inicializar um dispositivo comprado neste revendedor e mover os seus fundos para uma nova wallet com uma nova seed se isso já tiver sido feito. O problema agora ultrapassa o Sudeste Asiático. Um cliente alemão relatou um dispositivo comprometido comprado na MediaMarkt, sem perda de fundos até este momento, e a loja retirou os Ledger das suas prateleiras em todos os seus países.

Frases seed e ataques com chave inglesa, o fator humano antes do código

Com 25 casos em 70, a compromissão da seed phrase continua a ser, de longe, a categoria mais frequente do relatório SEAL. A fatura da semana atinge 3,86 milhões de dólares, 64,5 ETH e 0,3 BTC. Uma seed phrase são essas 12 ou 24 palavras que dão acesso a todos os fundos de uma wallet. Quem as obtém torna-se proprietário. As tomadas de controle de contas adicionam 1,6 milhões de dólares ao contador. Os 70 incidentes da semana por categoria: a compromissão da seed phrase supera tudo o resto. Fonte: Security Alliance (SEAL)

Os ataques com chave inglesa também figuram na lista com duas vítimas assaltadas pessoalmente e 1,22 milhões de dólares roubados. O SEAL precisa que essas agressões físicas estão a aumentar. O termo refere-se ao roubo de cripto sob ameaça, quando a chave inglesa substitui o malware. Os leitores franceses conhecem o assunto: a polícia judiciária já contava 41 rapos de cripto em França a meio de abril de 2026.

No que diz respeito aos protocolos, o SEAL contabiliza nove relatórios. Seis compromissões custaram 2 milhões de dólares e 37,44 ETH, incluindo dois exploits a 1 milhão cada. Uma tomada de controle de infraestrutura fez perder 32 400 dólares e 5 BTC. E depois há este caso de ameaça interna, quase cômico se não fosse tão grave. Um colaborador adicionou o seu próprio endereço como signatário de um multisig, esta wallet que exige várias validações para mover os fundos.

Falsos Zoom e falsos recrutadores, a Coreia do Norte apanha largo

Os grupos norte-coreanos fizeram cinco vítimas por 260 000 dólares. Três delas perderam 86 000 dólares na armadilha << Contagious Interview >> (uma falsa entrevista de emprego onde o candidato instala um malware acreditando que está a passar um teste técnico). Uma compromissão de wallet ainda não ligada a uma campanha específica representa os 174 000 dólares restantes.

Mais preocupante para os desenvolvedores, o malware Polin Rider foi detectado em 13 dos 928 depósitos de um programa de bounty open source, relata o SEAL. Nenhuma perda foi reportada até este momento. O grupo UNC1069 registou, por sua vez, novos domínios imitando serviços de videoconferência. E um conjunto de intrusão ainda não atribuído, chamado SINT-69, continua a produzir em massa falsos sites Zoom e Teams com nomes como zoomwweb ou teamlives.

O modo de operação não muda. Um contato propõe uma chamada, o link redireciona para uma página que solicita uma << atualização >> do software de videoconferência, e essa atualização esvazia a sua wallet. Verifique o nome de domínio antes de instalar qualquer coisa. Ao longo da semana, a SEAL coletou 2.393 domínios de phishing, publicou 2.437 indicadores de comprometimento e listou 155 wallets.

A Ledger ainda não comunicou um balanço oficial do número de dispositivos comprometidos nem do montante total roubado, que qualifica como << limitado >>. Os investigadores on-chain, por sua vez, já rastreiam 103 milhões de dólares em saque através do Tornado Cash e Zcash, e os três casos adicionados esta semana pela SEAL aumentam ainda mais a conta.