Investidor de criptomoedas tem $800k drenado de suas carteiras em 46 horas

Um investidor de criptomoedas, conhecido pelo pseudônimo Sell When Over, recorreu ao Twitter para detalhar um incidente alarmante em que um hacker drenou $800k de suas carteiras de criptomoedas em apenas 46 horas. O problema principal parece girar em torno de uma possível exploração do navegador Google Chrome, facilitada possivelmente por atualizações atrasadas ou malware não detectado, levando à instalação não autorizada de extensões maliciosas.

A Revelação das Camadas de Segurança

Sell When Over relatou como ele adiou uma atualização do Chrome apenas para ser pressionado a fazê-lo por uma atualização subsequente do Windows. Após a reinicialização, as alterações do Chrome foram imediatas: Abas desaparecidas e logins de extensões redefinidos. Essa anomalia o forçou a reimportar as sementes de sua carteira — um processo que ele realizou meticulosamente a partir de um dispositivo secundário e não comprometido.

No entanto, a descoberta de duas extensões peculiares, “Sync Test Beta” e “Simple Game”, juntamente com a ativação não solicitada da tradução automática para coreano, sugeriu um comprometimento mais profundo. Curiosamente, um aplicativo de carteira específico, poupado do processo de reimportação, permaneceu intacto, apontando a origem da violação para um único PC comprometido.

Uma investigação mais aprofundada nessas extensões revelou funcionalidades alarmantes. “Sync Test Beta”, uma extensão de cores vivas, foi identificada como um keylogger, transmitindo secretamente dados para um script PHP externo. Por outro lado, “Simple Game” parecia monitorar as atividades das abas do navegador. Sell When Over lamentou a sabedoria do arrependimento de uma limpeza completa do PC na menor anomalia, especialmente quando essas peculiaridades coincidem com atualizações significativas, como a reformulação da interface do usuário do Chrome.

Uma Lição Custosa em Vigilância Digital

À medida que o tópico se expandia, Sell When Over revelou uma falha crítica de segurança: uma violação do login do Google vinculada a um dispositivo Windows obscuro, possivelmente falsificando o nome de um dispositivo familiar para evitar a detecção precoce. Essa violação foi rastreada até uma VPS hospedada pela Kaopu Cloud, notória nos círculos de hackers por seu papel em vários crimes cibernéticos. Apesar de ter a autenticação de dois fatores (2FA) ativada, o atacante contornou-a, deixando o método exato da violação — variando de phishing OAuth a cross-site scripting — uma questão de especulação.

O incidente serviu como um despertar brutal, com Sell When Over compartilhando várias lições-chave:

1. Decepção com a falha da Bitdefender em detectar qualquer ameaça, contrastando com a eficácia do Malwarebytes.
2. Um aviso contra a complacência em segurança, independentemente da quantidade de criptomoedas manipulada.
3. Um conselho rigoroso contra a inserção de frases sementes sob qualquer pretexto, defendendo uma configuração de sistema limpa em vez disso.
4. Abandonar o Chrome por navegadores mais seguros, como o Brave.
5. A importância da segregação de dispositivos, especialmente para transações de criptomoedas.
6. Monitoramento regular dos alertas de Atividade do Google.
7. Recomendações para desativar a sincronização de extensões, especialmente em dispositivos designados para criptomoedas.
8. Um reconhecimento das limitações da 2FA.
9. A necessidade de auditorias de segurança rotineiras e atualizações procedimentais para afastar ameaças latentes.

Apesar da perda financeira, Sell When Over esclareceu que sua carteira de hardware permaneceu segura, descartando qualquer especulação sobre motivos de evasão fiscal por trás dessa revelação. Apesar de uma parte dos fundos roubados começar a ser lavada, uma recompensa esperançosa de $150k foi oferecida por sua devolução, juntamente com considerações para uma investigação forense baseada em recompensa.

A saga concluiu com um tom de vigilância contínua, especialmente no contexto da decisão questionável do Google de filtrar alertas de segurança — uma medida que potencialmente mascarou a intrusão.