Ciberataque da GMO no Japão: contas de negociação devastadas, GMO Coin diz estar a salvo

Robôs de negociação viraram-se contra seus proprietários. No Japão, a GMO Internet confirmou o roubo de informações de clientes no << Onamae.com Desktop Cloud >>, seu serviço de servidores virtuais alugado por milhares de traders de forex para operar MT4 e MT5. A exchange da casa, GMO Coin, afirma não ter constatado nenhuma operação fraudulenta em suas próprias contas.

Os pontos-chave deste artigo:

• A GMO Internet confirmou o roubo de informações de clientes em seu serviço << Onamae.com Desktop Cloud >>, utilizado por milhares de traders de forex.
• A GMO Coin, a plataforma de troca de criptomoedas do grupo, foi poupada de operações fraudulentas, mas aconselhou seus usuários a tomarem medidas de segurança adicionais.
• Após a descoberta de programas maliciosos em alguns servidores, a GMO se recusou a pagar um resgate e solicitou a intervenção do Estado para aplicar a ciberdefesa ativa.

GMO Coin poupada, mas em alerta

GMO Coin, a plataforma de troca de criptomoedas do grupo, publicou um aviso no 23 de outubro. Ela esclarece que nenhuma operação não autorizada foi confirmada até este momento em suas contas de clientes.

A exchange, no entanto, pede a seus usuários que verifiquem seu histórico de ordens e saldos, ativem uma chave de acesso e as notificações de login. Acima de tudo, aconselha-os a remover chaves API não utilizadas ou desconhecidas. Uma chave API é a senha que permite a um software de terceiros, como um bot, fazer ordens em seu nome.

Os stablecoins do grupo não aparecem em nenhum dos cinco relatórios publicados pela GMO Internet. GYEN e ZUSD, emitidos pela GMO Trust em Nova York, estão de qualquer forma em processo de liquidação. Seus detentores podem resgatá-los a paridade até 11 de novembro de 2026, sem ligação conhecida com o ataque.

O que aconteceu nos servidores da GMO

Tudo começou com uma mensagem de cliente no 19 de outubro. No dia seguinte, a GMO Internet descobriu programas maliciosos instalados em alguns servidores. No 21 de outubro às 4 horas, o provedor cortou todas as ofertas.

O número de 26.739 servidores circula muito no X. Ele é exato, mas se refere às máquinas potencialmente expostas. A GMO esclarece que não se trata do número de servidores efetivamente comprometidos.

O problema vem do que essas máquinas continham. Os traders deixavam seus softwares MT4 e MT5 rodando continuamente conectados a seus corretores, incluindo identificações. Alguns clientes viram ordens que nunca haviam dado. A imprensa japonesa cita um particular de Kanagawa que teria perdido cerca de 4 milhões de ienes em dois segundos.

OANDA Japan, XMTrading, Titan FX, AXIORY e IronFX pediram a seus clientes que mudassem suas senhas. Desde 22 de outubro, a Agência de Serviços Financeiros (FSA) pediu aos corretores de forex, através de sua associação profissional, que monitorassem transações anormais.

Resgate recusado e apelo ao Estado

O quarto relatório da GMO, datado de 24 de outubro, confirma que informações de clientes foram de fato exfiltradas. A empresa não diz quais. Ela também revela ter recebido uma solicitação de resgate, cujo valor não é informado.

As ameaças estão detalhadas no comunicado oficial da GMO. O atacante promete continuar a fazer ordens destrutivas em contas abertas em mais de 70 corretores japoneses e estrangeiros, publicar dados de clientes e lançar um ransomware. Esse número de 70 vem, portanto, do próprio hacker. Nenhum balanço oficial o confirma.

A GMO se recusa a pagar e enviou suas comunicações à polícia. O grupo reembolsará as perdas realizadas em ordens fraudulentas e pagará 5.000 ienes a cada cliente, afetado ou não. O serviço não será restabelecido.

【Importante】"Pedido de desculpas e aviso sobre acesso não autorizado ao Onamae.com Desktop Cloud" (4ª edição)

Pedimos desculpas sinceras por qualquer inconveniente e preocupação causados a nossos clientes.

Abaixo estão as medidas que decidimos tomar:
① Pagaremos um valor de condolências de 5.000 ienes a todos os clientes que utilizam nossos serviços...
--- Grupo GMO Internet (@GMOGroup) 24 de outubro de 2026

Mais incomum, a GMO pediu ao governo que aplique a ciberdefesa ativa, que entrou em vigor em 1º de outubro. Esta lei autoriza a polícia ou as Forças de Autodefesa a neutralizar remotamente os servidores de um atacante. Questionado pela imprensa, o secretário-geral do governo Minoru Kihara se recusou a comentar um caso específico. Segundo ele, o Estado avaliará a oportunidade de uma neutralização com ou sem solicitação da empresa.

De acordo com a Nikkei, o governo reúne nesta segunda-feira à noite os ministros envolvidos para enfrentar uma série de ciberataques.

Bots de criptomoedas e VPS: o mesmo calcanhar de Aquiles

Substitua MT5 por um bot de negociação em grade e um corretor forex por Binance. O esquema permanece o mesmo. Muitos traders de criptomoedas alugam um VPS para rodar seus scripts dia e noite, com chaves API armazenadas em texto claro na máquina.

O Japão conhece o preço dessas falhas. Em maio de 2024, a DMM Bitcoin perdeu 4.502,9 BTC, ou cerca de 305 milhões de dólares. O FBI e a polícia japonesa atribuíram o roubo ao grupo norte-coreano TraderTraitor, um ramo do Lazarus. A exchange anunciou seu fechamento em dezembro de 2024.

Para a GMO, nada permite identificar o autor até o momento. O método também difere. Ninguém esvaziou uma carteira. O hacker usou os acessos das vítimas para destruir seu capital com ordens perdedoras.

Se um bot estiver rodando em um servidor alugado, suas chaves API nunca devem ter permissão de retirada e devem ser limitadas ao endereço IP desse servidor. Os clientes da GMO receberão as condições de reembolso até 6 de novembro.