Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Junho de 2025 foi um mês marcado pela escala tanto dos ataques quanto das ações de combate a golpes. A Interpol desmantelou 20.000 IPs maliciosos e prendeu 32 pessoas em uma campanha global de infostealer. O DOJ dos EUA anunciou sua maior recuperação de pig butchering da história, no valor de US$ 225 milhões. Mas o Grupo Lazarus correspondeu à intensidade, lavando bilhões em criptomoedas roubadas pela infraestrutura de baixas taxas da Tron, hackeando a exchange taiwanesa BitoPro em US$ 11 milhões e continuando a se infiltrar em empresas americanas por meio de identidades falsas de trabalhadores de TI. Mais perto de casa, Taylor Monahan, da Segurança da MetaMask, explicou por que as explorações do EIP-7702 são um problema de Chave Privada, não um problema do Pectra. E nossa empresa-mãe, a Consensys, adquiriu a Web3Auth para simplificar a recuperação de carteiras e aprimorar ainda mais a segurança líder da MetaMask. Confira os detalhes abaixo, mas primeiro...
Pioneira em STEM em destaque: Nergis Mavalvala e a detecção de ondas gravitacionais
Nergis Mavalvala contribuiu para a detecção de ondas gravitacionais no projeto LIGO e para experimentos em ciência de medição quântica.
Consensys adquire a Web3Auth para simplificar a recuperação de carteiras MetaMask e o gerenciamento de chaves
Falamos muito sobre ataques maliciosos nesses relatórios, mas você sabia que 35% dos usuários não fazem backup adequado de suas Frases de Recuperação Secreta, colocando-os em risco de perda de fundos? Como o cofundador da MetaMask, Dan Finlay, disse: "Não compartilhe isso com ninguém, mas também não a perca — é uma linha muito difícil de equilibrar."
É por isso que estamos animados em anunciar que a empresa-mãe da MetaMask, a Consensys, adquiriu a Web3Auth, fornecedora líder de gerenciamento de chaves e infraestrutura de carteiras embarcadas. Ao integrar as capacidades da Web3Auth, os usuários da MetaMask poderão criar e recuperar carteiras usando métodos de autenticação familiares do web2, como logins sociais e autenticação baseada em dispositivo. A aquisição também oferece aos desenvolvedores acesso a SDKs de carteiras embarcadas e infraestrutura de gerenciamento de chaves, tornando o gerenciamento de carteiras mais fácil e eficiente.
Atualizações do LavaMoat: plugin Webpack chega à versão 1.0 e React Native lockdown tem seu primeiro lançamento
@lavamoat/webpack chega à versão 1.0
Após uma auditoria da OtterSec, a permissão para chunks carregados dinamicamente e a refatoração para facilitar a manutenção, nosso plugin Webpack chegou à versão 1.0 e é considerado estável e pronto para uso. Os próximos passos incluem planos para melhorias de segurança opcionais.
Reescrita do @lavamoat/node adiciona suporte completo a ESM
Não apenas conseguimos fazer o lockdown() do Hardened JavaScript funcionar dentro das restrições do motor Hermes no React Native, como também encontramos uma forma de entregá-lo aos desenvolvedores em um pacote organizado que se integra via arquivo de configuração do Metro. Lançamos uma versão muito inicial e estamos buscando resultados de testes e feedback. Experimente e compartilhe sua experiência.
Caso você tenha perdido, também temos outros projetos em andamento:
@lavamoat/node
Embora ainda seja um trabalho em progresso, nossa reescrita completa do LavaMoat para Node.js já é funcional. Ela introduz suporte completo a ESM e melhorias de DX para quem executa comandos de pacotes npm. O lavamoat-node ainda é suportado e estável, embora eventualmente seja descontinuado pela falta de suporte a ESM.
À medida que desenvolvemos novas capacidades, algumas estão sendo integradas ao lavamoat-node. Agora é possível obter controle de acesso mais preciso sobre globais marcados como graváveis em outros lugares. Melhorias na ordenação de arquivos de política foram implementadas em todas as ferramentas LavaMoat, permitindo a geração de arquivos policy.json. O Git diff foi otimizado para indicar apenas alterações reais e minimizar a reordenação de recursos listados à medida que sua árvore de dependências se reorganiza durante atualizações.
@lavamoat/git-safe-dependencies valida a segurança de pacotes provenientes do git
Lançamos uma nova ferramenta que funciona como um validador opinativo para prevenir problemas de segurança ao instalar dependências (ou GitHub Actions) diretamente de repositórios git. Seu lançamento foi seguido por um artigo na 6ª edição da revista PagedOut!.
Cryptonews classifica MetaMask como carteira de alto nível de segurança após avaliação independente
O Cryptonews examinou recentemente o quão segura é a carteira MetaMask, e somos gratos pela avaliação de que "com mais de 30 milhões de usuários ativos e oito anos de histórico," a MetaMask consolidou sua reputação como "uma escolha muito segura, com muitos recursos de segurança e uma equipe de desenvolvimento ativa comprometida em melhorar seu nível de segurança." O artigo destaca nossos recursos de segurança e oferece dicas sobre boas práticas de autocustódia. Obrigado, Cryptonews!
Taylor Monahan sobre explorações do EIP-7702: o problema é a segurança da Chave Privada, não o Pectra
A recente atualização Pectra do Ethereum introduziu o EIP-7702, com o objetivo de melhorar a experiência do usuário ao permitir que carteiras funcionem temporariamente como contratos inteligentes. No entanto, esse recurso foi explorado por agentes maliciosos. A análise da Wintermute revelou que mais de 80% das delegações do EIP-7702 estavam vinculadas a um único script malicioso chamado "CrimeEnjoyor," projetado para drenar automaticamente carteiras com chaves comprometidas. Um incidente notável envolveu um usuário perdendo quase US$ 150.000 por meio de um ataque de phishing facilitado por esse script.
Taylor Monahan, da Segurança da MetaMask, enfatizou que o problema central não é o EIP-7702 em si, mas o desafio persistente de os usuários protegerem suas chaves privadas. Ela observou que, embora o EIP-7702 ofereça funcionalidades avançadas, também fornece aos atacantes meios mais eficientes para explorar chaves comprometidas. Essa situação ressalta a importância de um gerenciamento robusto de chaves privadas e de maior vigilância dos usuários no ecossistema Ethereum em evolução.
Agentes de ameaça da RPDC se infiltram em empresas americanas, hackeiam a BitoPro em US$ 11 milhões e lavam bilhões pela Tron
Em três reportagens relacionadas publicadas em junho, podemos ver que as ameaças persistentes avançadas provenientes da Coreia do Norte não dão sinais de desaceleração.
O Departamento de Justiça dos EUA está buscando o confisco de US$ 7,7 milhões em criptomoedas vinculados a hackers norte-coreanos que se passaram por trabalhadores de TI para se infiltrar em empresas americanas. Esses indivíduos usaram identidades falsas para conseguir empregos remotos, receberam pagamentos em stablecoins e lavaram os fundos por diversos métodos antes de transferi-los ao governo norte-coreano. Especialistas alertam que tais operações, frequentemente utilizando personas geradas por IA e tecnologia de deepfake, podem gerar centenas de milhões de dólares anualmente para o regime.
A BitoPro, uma exchange de criptomoedas taiwanesa, perdeu US$ 11 milhões em um hack em 8 de maio de 2025, durante uma atualização do sistema de hot wallet. O ataque é atribuído ao Grupo Lazarus da Coreia do Norte, que usou malware e tokens AWS roubados para contornar a segurança e drenar fundos em múltiplas blockchains. As criptomoedas roubadas foram então lavadas por meio de mixers e exchanges descentralizadas. A BitoPro restaurou as carteiras e confirmou que não houve envolvimento interno.
O Grupo Lazarus da Coreia do Norte tem lavado bilhões em criptomoedas roubadas por meio de plataformas de finanças descentralizadas, utilizando especialmente a infraestrutura de baixas taxas da blockchain Tron. De acordo com o analista on-chain ZachXBT, o grupo opera dentro de uma rede clandestina de corretores que utilizam pools de swap, novas carteiras e métodos de negociação peer-to-peer, dificultando o rastreamento dos estimados US$ 5 bilhões a US$ 10 bilhões em fundos ilícitos.
Críticos destacam que plataformas como a Tron carecem de controles significativos, viabilizando operações de lavagem em larga escala. Embora a TRON DAO afirme apoiar esforços anticrime em colaboração com entidades como Tether e TRM Labs, muitos argumentam que essas medidas são reativas e insuficientes. ZachXBT enfatiza que o setor cripto mais amplo está vivenciando um "superciclo do crime," com hacks massivos e responsabilização mínima.
Interpol desmantela 20.000 IPs maliciosos e prende 32 pessoas em operação global contra infostealers
A "Operação Secure" da Interpol desmantelou com sucesso mais de 20.000 endereços IP e domínios maliciosos vinculados a malwares do tipo infostealer. Esse esforço coordenado, envolvendo agências de aplicação da lei de 26 países e parceiros do setor privado como Group-IB, Kaspersky e Trend Micro, resultou na apreensão de 41 servidores e na prisão de 32 indivíduos ligados a atividades cibercriminosas. Infostealers são softwares maliciosos projetados para extrair dados sensíveis, como senhas, detalhes de cartões de crédito e informações de carteiras de criptomoedas de dispositivos infectados. A operação também resultou na notificação de mais de 216.000 vítimas e potenciais vítimas, permitindo que tomassem medidas protetoras imediatas.
EUA recuperam US$ 225 milhões na maior apreensão de pig butchering da história
O Departamento de Justiça dos EUA anunciou sua maior recuperação de fundos vinculados a golpes de investimento em cripto conhecidos como "pig butchering," nos quais as vítimas são manipuladas ao longo do tempo para extrair o máximo de valor. O governo agora trabalha para devolver o máximo possível dos fundos apreendidos às mais de 400 vítimas.
Ataque à cadeia de suprimentos do CoinMarketCap drena US$ 43.000 por meio de código injetado para drenar carteiras
O que aconteceu
O site de rastreamento de preços de criptomoedas CoinMarketCap foi vítima de um ataque à cadeia de suprimentos que expôs visitantes a uma campanha de drenagem de carteiras. Hackers exploraram uma vulnerabilidade na imagem doodle da página inicial do site para injetar JavaScript malicioso, acionando popups falsos de conexão de carteira Web3. Usuários desavisados que conectaram suas carteiras tiveram suas criptomoedas drenadas, com mais de US$ 43.000 roubados de 110 vítimas. Esse ataque destaca a crescente ameaça dos wallet drainers, que exploram elementos confiáveis de plataformas para atingir usuários de cripto. Embora o código malicioso tenha sido rapidamente removido, o CMC afirma que uma investigação ainda está em andamento.
Como os usuários podem se proteger
Para se proteger de ataques de drenagem de carteiras, sempre verifique a legitimidade dos pop-ups Web3 antes de conectar sua carteira. Evite clicar em links suspeitos ou interagir com popups em sites desconhecidos, e considere usar hardware wallets para holdings significativas de cripto. Felizmente, a perda total desse incidente foi parcialmente mitigada graças a respostas de segurança rápidas de profissionais de segurança e simuladores de transações que alertaram muitas potenciais vítimas antes que perdessem seus fundos.
CoinTelegraph comprometido com pop-up falso de airdrop promovendo tokens CTG inexistentes
O que aconteceu
O site do CoinTelegraph foi comprometido por meio de um exploit de front-end que exibiu um pop-up falso de airdrop promovendo tokens CTG inexistentes. O pop-up afirmava falsamente que os usuários poderiam receber US$ 5.500 ao conectar suas carteiras e citava uma auditoria falsa da CertiK para parecer confiável.
O veículo de notícias sobre blockchain foi rápido em alertar os usuários contra a interação com esses pop-ups e em remover o código não autorizado. A publicação online desde então afirmou ter "fortalecido [seus] controles de segurança para evitar ocorrências semelhantes no futuro."
Como os usuários podem se proteger
Os usuários devem ser cautelosos com pop-ups ou ofertas inesperadas, especialmente aquelas que prometem grandes recompensas financeiras em troca da conexão de uma carteira. Antes de interagir com tais solicitações, os usuários devem verificar a legitimidade das informações por meio de fontes oficiais. Como precaução adicional, os usuários devem comparar as mensagens com as redes sociais verificadas da organização, o site e outras atividades de marketing confiáveis.
Formulário de suporte da Trezor explorado para enviar e-mails de phishing visando backups de carteiras
O que aconteceu
A fabricante de hardware wallets Trezor emitiu um alerta de segurança após atacantes abusarem de seu formulário de contato de suporte online para enviar e-mails de phishing disfarçados de respostas legítimas de suporte. Esses e-mails fraudulentos visavam enganar os usuários para que compartilhassem seus backups de carteira, que devem sempre permanecer privados e offline. A Trezor confirmou que não houve violação de seus sistemas ou dados de usuários, e a campanha de phishing foi contida. A empresa enfatizou a importância da vigilância e iniciou uma investigação para prevenir abusos futuros.
Como os usuários podem se proteger
Para evitar golpes de phishing, nunca compartilhe seu backup de carteira ou chaves privadas, mesmo que a solicitação pareça legítima. Sempre verifique a autenticidade das comunicações. Seja cauteloso com e-mails não solicitados, especialmente aqueles que pedem informações sensíveis, e evite clicar em links ou baixar anexos de fontes desconhecidas.
SparkKitty e Crocodilus: malwares móveis que roubam seed phrases de cripto e credenciais bancárias
O que aconteceu
O SparkKitty se infiltra em dispositivos iOS e Android por meio de aplicativos maliciosos encontrados em lojas de aplicativos oficiais, bem como por meio de apps instalados fora das lojas, como clones falsos do TikTok e plataformas de jogos de azar. Uma vez instalado, o SparkKitty solicita acesso à galeria de fotos do dispositivo e utiliza reconhecimento óptico de caracteres para escanear imagens em busca de informações sensíveis, especialmente seed phrases de carteiras de criptomoedas. Ao encontrar tais dados, transmite as informações aos atacantes, comprometendo os ativos digitais dos usuários.
O Crocodilus é um Trojan bancário para Android recém-identificado que representa uma ameaça significativa para usuários globalmente. O malware se disfarça de aplicativos legítimos, como o Google Chrome, para enganar os usuários. Uma vez instalado, solicita permissões de acessibilidade, permitindo realizar ações como capturar o conteúdo da tela, registrar teclas digitadas e sobrepor telas de login falsas para coletar credenciais. Ele tem como alvo específico aplicativos bancários e de criptomoedas, com o objetivo de extrair informações sensíveis e drenar as contas dos usuários.
Como os usuários podem se proteger
Baixe aplicativos apenas de fontes confiáveis e seja cauteloso com aqueles que solicitam acesso a fotos, conteúdo da tela ou recursos de acessibilidade. Evite armazenar informações sensíveis, como frases de recuperação secreta, na sua galeria de fotos e, em vez disso, use métodos de armazenamento seguros, como hardware wallets ou gerenciadores de senhas criptografados. Mantenha seu dispositivo e aplicativos atualizados para corrigir vulnerabilidades e considere usar softwares de segurança móvel confiáveis para detectar e bloquear malwares. Manter-se informado sobre ameaças emergentes e praticar uma boa higiene digital pode contribuir muito para manter suas criptomoedas e dados pessoais seguros.
O Relatório de Segurança Cripto de Junho de 2025 da MetaMask abordou operativos da RPDC lavando bilhões pela Tron, a operação da Interpol que derrubou 20.000 IPs maliciosos vinculados a infostealers e malwares móveis visando seed phrases de cripto em iOS e Android. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
