Investidor em criptomoedas perde US$ 800 mil em 46 horas

Um investidor em criptomoedas, usando o pseudônimo Sell When Over, recorreu ao Twitter para relatar um incidente alarmante em que um hacker desviou US$ 800 mil de suas carteiras de criptomoedas em apenas 46 horas. O principal problema parece estar relacionado a uma possível no Google Chrome, possivelmente explorada por meio de atualizações atrasadas ou malware não detectado, que levou à instalação não autorizada de extensões maliciosas.

O Desmantelamento das Camadas de Segurança

Sell ​​When Over relatou como adiou uma atualização do Chrome, apenas para ser forçado a fazê-la por uma atualização subsequente do Windows. Após a reinicialização, as alterações no Chrome foram imediatas: abas desapareceram e logins de extensões foram redefinidos. Essa anomalia o obrigou a reimportar suas chaves de carteira — um processo que ele realizou meticulosamente a partir de um dispositivo secundário, não comprometido.

No entanto, foi a descoberta de duas extensões peculiares, “Sync Test Beta” e “Simple Game”, juntamente com a ativação não solicitada da tradução automática para coreano, que indicou uma violação mais profunda. Curiosamente, um aplicativo de carteira específico, que não passou pelo processo de reimportação, permaneceu intacto, apontando a origem da violação para um único computador comprometido.

Uma análise mais aprofundada dessas extensões revelou funcionalidades alarmantes. A extensão "Sync Test Beta", com cores vibrantes, foidentcomo um keylogger, transmitindo dados secretamente para um script PHP externo. Por outro lado, a extensão "Simple Game" parecia monitorar as atividades das abas do navegador. O site Sell When Over lamentou a sabedoria retrospectiva de formatar completamente o PC ao menor sinal de anomalia, especialmente quando tais peculiaridades coincidem com atualizações significativas como a reformulação da interface do Chrome.

Uma lição cara sobre vigilância digital

À medida que a discussão se desenrolava, o grupo Sell When Over revelou uma falha crítica de segurança: uma violação de login do Google vinculada a um dispositivo Windows obscuro, possivelmente falsificando o nome de um dispositivo conhecido para burlar a detecção precoce. Essa violação foi tracaté um VPS hospedado pela Kaopu Cloud, notória nos círculos de hackers por seu envolvimento em diversos crimes cibernéticos. Apesar de a autenticação de dois fatores (2FA) estar habilitada, o invasor conseguiu contorná-la, deixando o método exato da violação — que pode variar de phishing via OAuth a cross-site scripting — como uma questão de especulação.

Odent serviu como um alerta brutal, e a Sell When Over compartilhou várias lições importantes:

1. Decepção com a incapacidade do Bitdefender em detectar quaisquer ameaças, contrastando com a eficácia do Malwarebytes.
2. Um alerta contra a complacência em segurança, independentemente da quantidade de criptomoedas envolvidas.
3. Uma recomendação severa contra a inserção de frases-semente sob qualquer pretexto, defendendo, em vez disso, a criação de um novo sistema.
4. Abandonando o Chrome em favor de navegadores mais seguros como o Brave.
5. A importância da segregação de dispositivos, especialmente para transações criptográficas.
6. Monitoramento regular dos alertas de atividade do Google.
7. Recomenda-se desativar a sincronização de extensões, especialmente em dispositivos destinados à criptografia.
8. Um reconhecimento das limitações da autenticação de dois fatores.
9. A necessidade de auditorias de segurança de rotina e atualizações de procedimentos para evitar ameaças latentes.

Em meio ao prejuízo financeiro, Sell When Over esclareceu que sua carteira de hardware permanecia segura, descartando qualquer especulação sobre motivos de sonegação fiscal por trás dessa revelação. Apesar de parte dos fundos roubados já estar sendo lavada, uma recompensa de US$ 150 mil foi oferecida por sua recuperação, juntamente com considerações para uma investigação forense baseada na recompensa.

A saga terminou com uma nota de vigilância contínua, especialmente tendo em vista a questionável decisão do Google de agrupar alertas de segurança — uma medida que potencialmente mascarou a intrusão.