Relatório de Segurança Cripto: Agosto 2025

Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.

Em agosto de 2025, um tema recorrente persistiu: até profissionais de segurança experientes e cuidadosos podem cair em golpes. Um desenvolvedor central do Ethereum, com uma década de segurança operacional impecável, perdeu sua carteira por causa de uma única extensão de IA para programação com typosquatting. Um malware gerado por IA se infiltrou no npm e foi baixado mais de 1.500 vezes antes de ser removido. E a violação do LastPass continuou aparecendo, ressurgindo mais uma vez neste mês por meio de uma organização comprometida no GitHub da Toptal. As ameaças se escondem cada vez mais nas ferramentas de desenvolvimento e nas cadeias de fornecimento em que os usuários podem confiar por padrão — e é exatamente por isso que a MetaMask lançou o Kipuka, uma nova ferramenta LavaMoat criada para combatê-las. Confira os detalhes abaixo, mas antes...

Destaque STEM: Alonzo Church e o desenvolvimento do cálculo lambda

O matemático Alonzo Church desenvolveu o cálculo lambda, um framework fundamental para a ciência da computação. Junto com seu orientando Alan Turing, eles nos presentearam com a tese Church-Turing, que define o que significa um problema ser computável. Construir a base formal para raciocinar rigorosamente sobre o que um sistema pode ou não fazer é o mesmo instinto por trás da segurança verificável e comprovável.

MetaMask lança novo toolkit LavaMoat, o Kipuka

O Kipuka é o novo toolkit de segurança LavaMoat da MetaMask, projetado para proteger desenvolvedores de pacotes npm maliciosos. Especificamente, ele visa reduzir a probabilidade de ataques bem-sucedidos em que um pacote npm malicioso tenta comprometer a máquina local de um desenvolvedor durante a instalação ou o uso no desenvolvimento. Com a crescente popularidade de malwares do tipo stealer e worms direcionados a desktops distribuídos dentro de pacotes npm, o Kipuka busca tornar esses ataques ineficazes, mesmo que não se limitem a scripts de instalação.

Colocar ambientes de desenvolvimento em containers ou Máquinas Virtuais (VMs) não é novidade. O que torna o Kipuka único é que, uma vez instalado, ele executa de forma transparente suas chamadas ao npm cli (ou outros gerenciadores de pacotes) em containers, sem a necessidade de lembrar de configurar ou iniciar um ambiente seguro.

Obtenha acesso antecipado ao Kipuka e teste sua compatibilidade com diversos fluxos de trabalho e configurações antes do lançamento beta.

Plugin LavaMoat Webpack recebe atualização de compatibilidade

O LavaMoat Webpack Plugin da MetaMask também recebeu uma atualização em agosto de 2025, ampliando sua compatibilidade com recursos do Webpack, capacidades do navegador e o ecossistema em geral. O plugin saiu da versão beta. Adote-o em seus projetos de Web UI hoje mesmo e fique por dentro de todos os nossos lançamentos mais recentes do LavaMoat.

É falso o FUD de que o Google vai banir todas as carteiras não custodiais das lojas de aplicativos

Em meados de agosto, rumores começaram a circular no CT de que o Google em breve baniria carteiras não custodiais de sua App Store. Não é verdade, e o próprio Google desmentiu. Resumindo: a MetaMask veio para ficar.

Coinbase pressiona por reforma antilavagem de dinheiro com tecnologia ZK após hack de dados de 70 mil clientes

Poucos meses após sofrer uma grande violação de dados que afetou quase 70.000 clientes, a Coinbase agora aponta ferramentas de privacidade criptográfica como uma possível solução para o que chama de leis "arcaicas" de crimes financeiros. O Bank Secrecy Act (BSA) "ainda está enraizado em requisitos de décadas atrás que refletem protocolos de conformidade baseados em papel e um sistema financeiro em que os fundos levavam dias para se mover, não segundos", explica Paul Grewal, Diretor Jurídico da Coinbase.

"Além do incômodo que os clientes sentem toda vez que repetem o processo de KYC, esses arquivos pessoais são verdadeiros ímãs para criminosos. As empresas são obrigadas por lei a guardar seus dados por anos e a enviá-los a burocratas." Embora a Coinbase não esteja culpando diretamente o BSA pelo vazamento de dados, parece que a empresa está tentando direcionar a narrativa para uma discussão mais ampla sobre os requisitos regulatórios do BSA e os riscos associados. Manteremos você informado sobre como isso vai se desenrolar…

Turquia detém pesquisador cripto Fede Intern após condenação de Roman Storm

Após o julgamento e condenação do desenvolvedor do Tornado Cash, Roman Storm, na Turquia, um pesquisador conhecido como Fede's Intern, também chamado de Federico Carrone, foi detido por agentes do aeroporto turco ao tentar entrar no país. Ele foi detido em razão de um processo aberto pelo Ministro do Interior que o acusava de ajudar pessoas a usar indevidamente o Ethereum. Aparentemente, sua única conexão com o caso é um artigo que escreveu explorando técnicas de desanonimização do Tornado Cash. Carrone nunca desenvolveu nenhum recurso de privacidade para o Tornado Cash.

"O Ministro do Interior abriu um processo me acusando de ajudar outros a usar indevidamente o Ethereum, supostamente em conexão com um protocolo de privacidade", compartilhou Carrone. "Escrever código para tornar transações privadas não faz de você um criminoso. Criminosos são aqueles que infringem a lei."

Taylor Monahan, da MetaMask, também se pronunciou: "Uma das desvantagens mais interessantes e pouco relatadas da abordagem dos EUA em relação às criptomoedas é o impacto que ela tem em outros países e, consequentemente, no mundo todo. Países que muitas vezes se encontram em algum ponto entre incompetentes, disfuncionais e completamente corruptos."

A saga da violação do LastPass continua com o hack do Github da Toptal

A empresa de software Toptal teve sua organização no GitHub comprometida, com alguns de seus pacotes publicados com scripts maliciosos adicionados. Isso reflete uma tendência mais ampla de malware sendo inserido furtivamente em pacotes bem estabelecidos.

Após a divulgação do hack, a Toptal também revelou que os pacotes Picasso e Xene foram comprometidos por várias horas em 20 de junho de 2025. A Toptal acredita que o incidente estava relacionado a um comprometimento de credenciais decorrente da violação do LastPass.

Caso você achasse que já tínhamos superado as consequências do monumental vazamento do LastPass, pense novamente! As criptomoedas foram, e continuam sendo, apenas um alvo inicial. Atualize tudo o que você já armazenou no LastPass antes da violação.

Coalizão cibernética global liderada pelo Canadá, Projeto Atlas, descobre mais de US$ 70 milhões em criptomoedas roubadas

O Projeto Atlas é uma iniciativa centrada nas vítimas liderada pela Equipe de Fraude Cibernética da Polícia Provincial de Ontário (CEFT), focada em identificar e desarticular golpes de investimento. Liderado pelo Canadá, mas com alcance global, reúne uma coalizão internacional de agências de aplicação da lei e partes interessadas do setor privado. Até o momento, o projeto descobriu mais de US$ 70 milhões em ativos cripto roubados de mais de 2.000 carteiras e congelou US$ 50 milhões.

Extensão de IA maliciosa esvazia a carteira de um desenvolvedor central do Ethereum

O que aconteceu

O Coin Telegraph noticia que o desenvolvedor central do Ethereum, Zak Cole, teve sua carteira esvaziada por uma extensão de cursor de IA maliciosa, apesar de suas boas práticas de segurança operacional. "Em mais de 10 anos, nunca perdi um único wei para hackers. Aí me apressei para publicar um contrato na semana passada", explicou Cole.

O ataque funcionou criando uma extensão maliciosa que usava typosquatting para imitar uma extensão legítima. Nesse caso, os atacantes se passaram por uma extensão legítima de Solidity, fingindo ser o conhecido publisher Juan Blanco. A extensão maliciosa foi publicada por "Juan Bianco" em vez de "Juan Blanco".

Como os usuários podem se proteger

Mesmo que você esteja com pressa para publicar rapidamente, lembre-se sempre de ler as letras miúdas. Lembre-se: devido à formatação, alguns caracteres e elementos visuais de extensões maliciosas podem parecer idênticos, e isso pode ser um vetor de exploração.

Golpistas chegaram até a veicular anúncios com suas extensões falsas em lojas de aplicativos. Para se proteger, verifique a data de publicação de uma extensão antes de adicioná-la à sua IDE. Cole também destacou que havia uma quantidade extremamente alta de downloads, apesar de a extensão ter sido publicada há apenas alguns dias. Isso é extremamente incomum, pois extensões não acumulam esse volume de downloads em tão pouco tempo. Fique atento a combinações estranhas de palavras na descrição do site e a localizações de desenvolvedores em lugares improváveis.

Acesso a dispositivo de hacker da RPDC revela estratégias norte-coreanas para se infiltrar em projetos cripto

O que aconteceu

Um pesquisador de segurança desconhecido acessou o dispositivo de um hacker de TI da RPDC e revelou como uma pequena equipe norte-coreana gerencia um amplo conjunto de personas falsas contratadas para funções de desenvolvimento de software. O ZachXBT revelou que essa equipe de TI da RPDC estava profundamente infiltrada em cinco empresas cripto. Os hackers conseguem isso comprando identidades falsas, contas no LinkedIn e contas no Upwork para conseguir empregos. Essa tática os ajuda a construir uma reputação como desenvolvedores confiáveis.

Como os usuários podem se proteger

Se você é uma empresa cripto e acredita ter sido comprometida: primeiro, verifique se as contas expostas no LinkedIn, GitHub e e-mail dos trabalhadores da RPDC não fazem parte da sua organização. Em seguida, modifique seu processo de contratação para exigir formas de validar a localização de potenciais funcionários.

Malware criado por IA ultrapassa 1.500 downloads antes de ser removido

O que aconteceu

Um malware gerado por IA foi enviado ao NPM e baixado por mais de 1.500 pessoas antes de ser removido. Esse pacote usava scripts postinstall para comprometer as chaves privadas das vítimas. Os scripts postinstall foram projetados para se ocultar em dispositivos Windows, Mac e Linux. Uma vez instalado, o malware varria arquivos em busca de chaves privadas armazenadas.

Como os usuários podem se proteger

Desenvolvedores podem se proteger usando os controles de segurança criados pelo LavaMoat. O uso do @lavamoat/allow-scripts e do Kipuka impede que scripts postinstall maliciosos cheguem aos seus aplicativos. Além disso, é importante garantir que você baixe e execute apenas projetos lançados por fontes confiáveis. Se precisar baixar pacotes não verificados ou pouco populares, o ideal é usar uma VM descartável para baixar e executar esses projetos. Assim, caso sua VM seja comprometida, os segredos do seu computador pessoal estarão protegidos.

O Relatório de Segurança Cripto da MetaMask de agosto de 2025 cobriu o lançamento de uma nova ferramenta LavaMoat chamada Kipuka, a pressão da Coinbase por uma reforma antilavagem de dinheiro com tecnologia ZK, o dispositivo de hacker da RPDC que revelou estratégias de infiltração de TI norte-coreanas, um desenvolvedor central do Ethereum tendo sua carteira esvaziada por uma extensão de IA maliciosa e a detenção do pesquisador cripto Fede Intern pela Turquia. Navegue pelas edições anteriores do relatório de segurança cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.