Cada mês, o guru de segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Abril de 2026 foi um mês difícil para ataques cripto. Mais de meio bilhão de dólares em criptomoedas foram roubados da KelpDAO, Drift Protocol e CoW Swap, com operativos da RPDC suspeitos em pelo menos dois desses incidentes. O pacote npm Axios foi comprometido e instalou um Trojan de acesso remoto em inúmeras máquinas de desenvolvedores. Um aplicativo falso do Ledger ficou na Apple App Store tempo suficiente para drenar US$ 9,5 milhões de 50 pessoas. Um infiltrado acessou os sistemas de suporte da Kraken. Enquanto isso, o novo modelo Mythos da Anthropic está encontrando zero-days mais rápido do que a maioria das equipes de red team consegue registrar tickets. Vamos mergulhar nos detalhes abaixo, além de dicas de como você pode se manter seguro no ecossistema. Mas primeiro...
Destaque STEM do mês: Karl von Frisch e a dança das abelhas
Com o Dia Mundial das Abelhas em 20 de maio se aproximando, conheça Karl von Frisch, o etologista reconhecido por decifrar o código da "dança das abelhas" que as abelhas melíferas usam para comunicar onde encontrar recursos e instalar colmeias.
Ataque à cadeia de suprimentos do NPM Axios: Por que o LavaMoat importa mais do que nunca
O Axios, uma das bibliotecas cliente HTTP JavaScript mais populares, foi comprometido no NPM, permitindo que duas versões maliciosas ([email protected] e [email protected]) espalhassem um Trojan de acesso remoto (RAT). O malware foi entregue por um script postinstall no [email protected], um pacote que os atacantes publicaram e posteriormente adicionaram como dependência às versões do Axios que publicaram. A Socket identificou o malware no plain-crypto-js 6 minutos após a publicação, e 30 minutos antes de os atacantes adicioná-lo como dependência ao axios para distribuição.
De acordo com a StepSecurity, "Seu único propósito é executar um script postinstall que atua como um dropper de trojan de acesso remoto (RAT) multiplataforma, visando macOS, Windows e Linux. O dropper contata um servidor de comando e controle ativo e entrega payloads de segundo estágio específicos para cada plataforma. Após a execução, o malware se apaga e substitui seu próprio package.json por uma versão limpa para evitar detecção forense."
A StepSecurity alerta que qualquer pessoa que instalou essas versões deve presumir que seu sistema está comprometido. A tática? Engenharia social, de novo. Indivíduos e projetos devem considerar seriamente aproveitar as proteções oferecidas pelas ferramentas do LavaMoat, disponíveis gratuitamente graças à MetaMask, já que usuários executando o @lavamoat/allow-scripts não foram afetados. Como disse o Naugtur da MetaMask: "Os atacantes usam scripts não porque são preguiçosos, mas porque as vítimas são."
Desabilitar permanentemente scripts de instalação em todos os lugares e usar o @lavamoat/allow-scripts para executar apenas os absolutamente necessários é suficiente para neutralizar os recentes ataques generalizados ao ecossistema npm. Scripts de ciclo de vida são uma ótima ferramenta de entrega de malware porque cada pacote sendo instalado pode executar código. Se todos desabilitassem scripts permanentemente, isso forçaria os atacantes a entregar seus malwares por meios muito menos propensos a serem executados. Após a instalação, muitos pacotes nas suas dependências não têm a chance de rodar a menos que sejam explicitamente utilizados. E para prevenir isso, temos outros recursos na caixa de ferramentas do LavaMoat.
Principais hacks cripto em abril de 2026: KelpDAO, Drift, CoW Swap e mais
Quando chove, vira temporal, e em 2026 as chuvas de abril trouxeram post mortems.
KelpDAO
Em 18 de abril, US$ 290 milhões foram roubados do projeto DeFi KelpDAO e, mais uma vez, operativos da RPDC, especificamente o Grupo Lazarus, são suspeitos. Foi relatado que os protocolos de empréstimo Compound, Euler e Aave também foram impactados, "com o último anunciando um congelamento e bloqueando novos depósitos ou empréstimos usando rsETH como garantia," de acordo com o Bleeping Computer.
O ataque visou apenas o rsETH, um token líquido que representa ETH restakeado. Os atacantes assumiram o controle de determinados nós RPC dos quais o verificador dependia, fornecendo-lhes dados falsos da blockchain. Ao mesmo tempo, lançaram ataques DDoS contra nós RPC legítimos, forçando o sistema a depender dos nós comprometidos.
Mais detalhes foram divulgados em 20 de abril pela Kelp, que agradeceu à SEAL 911 pela assistência. No mesmo dia, o Conselho de Segurança da Arbitrum anunciou que, a pedido das autoridades, estava congelando uma parte dos ativos vinculados ao exploit. Isso significa que US$ 71 milhões em fundos não estão mais acessíveis aos ladrões e oferece uma "opção de recuperação parcial, além do que as autoridades e empresas de rastreamento on-chain conseguirem recuperar," de acordo com a CoinDesk. Ainda há uma disputa entre a Kelp e a LayerZero, que alimentava a bridge explorada, sobre quem é o responsável.
Lideradas pela Aave, várias organizações se uniram posteriormente para apoiar o esforço de socorro e plano de recuperação da DeFi United, incluindo a Consensys, que prometeu até 30.000 ETH em apoio financeiro.
Drift Protocol
Em 1º de abril, a exchange descentralizada baseada em Solana Drift anunciou que os poderes administrativos do seu conselho de segurança foram sequestrados por uma parte maliciosa, resultando em um roubo de US$ 280 milhões. Este é mais um exemplo de como a segurança negligente em torno de aprovações multisignature levou a um comprometimento, muito semelhante ao ataque à ByBit no ano passado. Os atacantes conseguiram adquirir duas das três assinaturas necessárias, além de explorar contas de nonce duráveis que permitiam que transações fossem pré-assinadas com execução adiada.
Suspeita-se que o ataque foi realizado por um grupo de ameaça persistente avançada (APT) apoiado pela RPDC, que orquestrou uma elaborada campanha de engenharia social iniciada no outono de 2025. Esse esquema de meses envolveu operativos (que não pareciam ser norte-coreanos) se passando por membros de uma potencial empresa parceira, que chegaram a se encontrar pessoalmente em diversas ocasiões. Investigações da empresa de forense em blockchain Elliptic e do grupo de pesquisa de segurança SEAL 911 corroboram as teorias de que os mesmos criminosos por trás do hack da Radiant Capital em outubro de 2024 são os responsáveis.
CoW Swap Exchange
A exchange DeFi do Ethereum Cow Swap sofreu um ataque de front end, levando-a a suspender temporariamente os serviços em 14 de abril. Os amigos da raposa na Blockaid foram os primeiros a identificar o incidente, alertando os usuários para "evitar qualquer interação com o dApp imediatamente."
Em ataques como esses, os agentes de ameaça conseguem redirecionar usuários para um site malicioso corrompendo a resolução DNS. Neste caso, os usuários foram induzidos a aprovar transferências que enviavam fundos aos ladrões em vez dos destinatários pretendidos.
Um post mortem completo foi divulgado em 16 de abril, estimando aproximadamente US$ 1,2 milhão em perdas para os usuários. Além das transferências maliciosas, o site de phishing para o qual os usuários foram direcionados "tentou drenar carteiras, coletar seed phrases e roubar senhas." A CoW DAO posteriormente criou um programa de grants para reembolsar os usuários afetados.
Outros incidentes notáveis de segurança cripto em abril de 2026
Ataques adicionais em abril de 2026 incluíram:
Como resumiu o usuário do X @mrbreadsmith, 25 protocolos foram hackeados em 30 dias.
Atualizações do setor de segurança cripto: abril de 2026
O modelo de IA Mythos da Anthropic levanta alarmes de cibersegurança
A Anthropic causou grande repercussão este mês ao anunciar um novo modelo de IA chamado Mythos, considerado perigoso demais para ser amplamente compartilhado, optando por lançar um piloto restrito a empresas de tecnologia selecionadas, chamado Project Glasswing. Com o objetivo de revolucionar a cibersegurança, o Mythos "já encontrou milhares de vulnerabilidades de alta gravidade, incluindo algumas em todos os principais sistemas operacionais e navegadores web."
Uma versão anterior do modelo conseguiu escapar de seu sandbox, desenvolver e explorar uma vulnerabilidade e, em seguida, divulgá-la em fóruns obscuros, mas públicos. Em outras demonstrações de burlar salvaguardas, o modelo pareceu reconhecer as ações proibidas que estava realizando e "apagou seus rastros."
O Mythos é capaz de descobrir e explorar vulnerabilidades de software, vinculando automaticamente múltiplos exploits em sistemas operacionais e navegadores populares. No âmbito das finanças descentralizadas, o modelo evidencia disparidades entre projetos que implementaram protocolos de segurança robustos e aqueles que operam com defesas mais frágeis.
O programa ETH Rangers do Ethereum encerra iniciativa de segurança de seis meses
O programa ETH Rangers, uma colaboração entre a Ethereum Foundation, Secureum, The Red Guild e Security Alliance (SEAL), encerrou recentemente sua execução de seis meses. O objetivo da iniciativa era "fornecer bolsas para indivíduos que realizam trabalhos de segurança de bens públicos no ecossistema Ethereum," e 17 contribuidores individuais e em grupo foram recompensados por seus esforços.
Alguns dos destaques incluíram SunSec do DeFiHackLabs, o Projeto Ketman, Nick Bax, Guild Audits, e Palina Tolmach com a ferramenta Kontrol.
Solana lança o framework de segurança STRIDE com a Asymmetric Research
A Solana Foundation, em conjunto com a empresa de segurança web3 Asymmetric Research, anunciou o lançamento de "uma nova onda de iniciativas de segurança em ferramentas, padrões e suporte para desenvolvedores," afirmando que "a Solana foi construída para segurança" e que "os adversários estão inovando rapidamente."
Central nesse conjunto de ferramentas está o STRIDE — Solana Trust, Resilience and Infrastructure for DeFi Enterprises, essencialmente um framework holístico de auditoria de postura de segurança. A Asymmetric Research delineou os pilares do programa:
Para complementar o STRIDE, a fundação também está apresentando o SIRN (Solana Incident Response Network), "uma rede baseada em membros de empresas de segurança e pesquisadores" que inclui a Asymmetric Research, OtterSec, Neodyme, Squads e ZeroShadow. Além disso, a fundação destacou uma série de serviços gratuitos para todos os projetos do ecossistema Solana.
Ameaças de segurança cripto e golpes para ficar de olho: abril de 2026
SEAL Radar expõe campanhas de engenharia social de equipes 'Traffer' visando cripto
O blog Radar da Security Alliance (SEAL) publicou descobertas sobre um aumento de diversas campanhas de equipes "Traffer", nas quais agentes de ameaça utilizam uma combinação de engenharia social e malware-as-a-service (MaaS) para comprometer e roubar de empresas cripto.
De acordo com o Radar, "Os atacantes não demonstram viés geográfico (visando tanto os EUA quanto a China) e não se concentram em uma categoria específica de alvo. No entanto, funcionários voltados ao cliente/consumidor (CFO/CEO, Desenvolvimento de Negócios, Relações com Desenvolvedores, Mídia e Marketing) inadvertidamente se tornam o grupo de maior risco devido ao perfil dos ataques de engenharia social empregados. O segundo grupo de maior risco inclui proprietários de projetos em estágio inicial e figuras públicas (Jornalistas, donos de Podcasts)."
Os principais pontos destacados incluem a proliferação de convites falsos para reuniões de vídeo, documentos maliciosos, personificações de figuras proeminentes, contas de redes sociais roubadas e sites de empresas fictícias. Embora essas táticas frequentemente apresentem características de envolvimento da RPDC, acredita-se que essa coleção de campanhas seja de origem russa. O artigo é detalhado e inclui atribuições, indicadores de comprometimento (IOCs), recomendações para se manter seguro e diversas capturas de tela.
Aplicativo falso do Ledger Live na Apple App Store rouba US$ 9,5 milhões em cripto
Um aplicativo fraudulento do Ledger Live que apareceu na App Store oficial da Apple resultou no roubo de US$ 9,5 milhões em criptomoedas de mais de 50 vítimas entre 7 e 13 de abril. O investigador de blockchain ZachXBT documentou o incidente, que afetou usuários em múltiplas redes, incluindo Bitcoin, Ethereum, Tron, Solana e Ripple. A Apple desde então removeu o aplicativo malicioso de sua loja.
O ataque representa o mais recente de uma série de aplicativos de personificação visando usuários de criptomoedas por meio de lojas de aplicativos oficiais. Poucos dias antes, o músico Garrett Dutton perdeu 5,9 BTC para um aplicativo fraudulento semelhante. Os fundos roubados foram lavados por meio de mais de 150 endereços de depósito da KuCoin conectados à AudiA6, um serviço centralizado de mixing. Como enfatizou o CTO da Ledger, Charles Guillemet, empresas legítimas de hardware wallets jamais solicitarão seed phrases, e os usuários devem baixar softwares de carteira apenas dos sites oficiais das empresas.
Como os usuários podem se manter seguros
Baixe aplicativos de carteira dos sites oficiais das empresas sempre que possível. Verifique o nome do desenvolvedor e os detalhes do aplicativo antes de baixar. Procure selos de verificação e leia avaliações recentes para identificar possíveis sinais de alerta. Empresas legítimas de hardware wallets jamais solicitarão sua seed phrase completa. Em caso de dúvida, entre em contato com a equipe de suporte oficial por canais verificados antes de prosseguir.
Kraken enfrenta extorsão após violação interna expor dados de clientes
A exchange centralizada Kraken divulgou detalhes de uma tentativa de extorsão por um grupo criminoso que conseguiu obter "acesso indevido" a sistemas internos que hospedam dados de clientes por meio de um infiltrado na empresa. O grupo ameaça divulgar esses dados caso a Kraken não atenda às suas exigências. Não está claro exatamente quais são as exigências, mas o Nick Percoco da Kraken afirmou que a exchange não pagará e não negociará. Percoco acrescentou que os fundos dos usuários não estão em risco e que os sistemas nunca foram violados.
Este evento espelha um ocorrido semelhante em fevereiro de 2025. Em ambos os casos, a Kraken foi alertada por uma denúncia que a levou a identificar a ameaça interna e revogar seu acesso. Em 2025, esse infiltrado havia se infiltrado na equipe de suporte ao cliente. Em ambos os casos, um pequeno número de contas de usuários foi visualizado e esses usuários foram notificados. A investigação ainda está em andamento e a Kraken acredita haver evidências suficientes para levar a prisões.
Como as empresas podem se manter seguras
Normalmente direcionamos essas seções especificamente para como os usuários podem se manter seguros, mas é preciso dizer novamente que todas as empresas web3 são alvos. É sabido que as ameaças persistentes avançadas da RPDC, em particular, estão trabalhando horas extras para se infiltrar em empresas relacionadas a cripto, usando credenciais e referências falsas.
As equipes de contratação devem empregar terceiros profissionais para realizar verificações de antecedentes completas, além de observar alguns dos sinais reveladores de potenciais funcionários maliciosos, que incluem:
Relutância em aparecer na câmera ou uso de fundos virtuais durante o processo de entrevista
Horário do dia ou clima local incompatível com a localização declarada
Histórico declarado não condiz com a proficiência linguística demonstrada
Relutância em criticar ditadores
Confusão sobre onde mora
Incapacidade de citar pontos turísticos locais ou condições climáticas sem hesitação
Currículo "perfeito", mas incapaz de responder perguntas técnicas básicas em tempo real
Além disso, as empresas devem estabelecer controles de acesso robustos, criar sistemas de detecção e resposta, e construir uma cultura de segurança sólida.
Este relatório de abril de 2026 cobriu os principais hacks cripto totalizando mais de meio bilhão de dólares, o ataque à cadeia de suprimentos do npm Axios, desenvolvimentos em cibersegurança impulsionados por IA e ameaças emergentes de engenharia social visando empresas cripto. Consulte edições anteriores do relatório de segurança cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
