Backdoor de roubo de cripto detetada na plataforma Snap Store para utilizadores Linux
- Cibercriminosos estão explorando domínios de desenvolvedores expirados para sequestrar contas confiáveis da Snap Store e distribuir malware que rouba criptomoedas.
- Aplicativos de carteira falsos que se passam por Exodus, Ledger Live e Trust Wallet solicitam frases de recuperação aos usuários, levando à perda total dos fundos.
- Pelo menos duas contas de publicadores da Snap Store foram confirmadas como comprometidas.
Os utilizadores Linux enfrentam uma nova ameaça à medida que cibercriminosos exploram uma vulnerabilidade crítica na Snap Store da Canonical, sequestrando contas de desenvolvedores confiáveis para distribuir malware de roubo de criptomoedas disfarçado de aplicações de carteira legítimas.
O diretor de segurança da informação da SlowMist, 23pds, que tem o handle X @im23pds, alertou que os atacantes estão a monitorizar contas de desenvolvedores cujos nomes de domínio associados expiraram.
Como funciona o ataque à Snap Store?
23pds escreveu, “Utilizadores Linux, cuidado: Um novo tipo de ataque está a grassar na Snap Store — domínios expirados foram assumidos por hackers e transformados em backdoors para roubar os ativos cripto dos utilizadores.
As aplicações adulteradas são disfarçadas de carteiras cripto bem conhecidas como Exodus, Ledger Live ou Trust Wallet, enganando os utilizadores para que introduzam a sua ‘frase de recuperação da carteira’, resultando no roubo completo dos fundos.”
Uma vez que um domínio alvo expire e fique disponível para registo, os atacantes compram-no imediatamente, em seguida, usam o endereço de e-mail associado a esse domínio para desencadear redefinições de palavra-passe na Snap Store. Isto concede-lhes controlo total sobre identidades de editores de longa data e confiáveis, sem levantar suspeitas imediatas.
Pelo menos duas contas de desenvolvedores foram confirmadas como comprometidas usando este método, com os domínios storewise.tech e vagueentertainment.com caindo nas mãos dos atacantes.
Os agentes maliciosos, acreditados estar baseados na Croácia de acordo com Alan Pope, um antigo desenvolvedor da Canonical e contribuidor do Ubuntu, têm realizado campanhas contra utilizadores da Snap Store há aproximadamente dois anos.
A tomada de domínio é a evolução mais recente e mais preocupante da ação destes maus atores, uma vez que agora significa que “software legítimo instalado e confiável pelos utilizadores durante anos pode ter código malicioso injetado por hackers através de canais de atualização oficiais durante a noite.”
De acordo com 23pds, “As aplicações adulteradas são geralmente disfarçadas de carteiras cripto bem conhecidas como Exodus, Ledger Live ou Trust Wallet, com interfaces quase indistinguíveis das versões genuínas.”
Ele afirmou: “Após a app ser lançada, primeiro conecta-se a um servidor remoto para verificar a rede, em seguida, solicita imediatamente ao utilizador que introduza a sua ‘frase mnemónica de recuperação da carteira’. Uma vez que o utilizador a submete, estes detalhes sensíveis são transmitidos instantaneamente para o servidor do atacante, resultando no roubo dos fundos.”
As vítimas frequentemente descobrem que os seus fundos foram roubados antes de notarem que algo estava errado, porque o ataque explora relações de confiança de longa data.
O que as principais plataformas estão fazendo para conter os ataques de ressurreição de domínios?
GitHub, PyPI e npm já sofreram ataques semelhantes de ressurreição de domínios. Um estudo acadêmico de 2022 identificou mais de 2.800 contas de desenvolvedores no npm configuradas com endereços de e-mail cujos domínios haviam expirado posteriormente, destacando a escala da vulnerabilidade potencial.
Em junho de 2025, a equipe de segurança do Python removeu mais de 1.800 endereços de e-mail expirados das contas de desenvolvedores, obrigando os desenvolvedores a revalidar suas credenciais com domínios ativos no próximo login.
O problema decorre do que especialistas em segurança chamam de deterioração da internet ou dos links (link rot), onde desenvolvedores que mudam de emprego ou provedores de e-mail falham em atualizar as informações da conta em todas as plataformas, criando lacunas de segurança exploráveis.
Pope afirmou que a Canonical precisa abordar o problema implementando salvaguardas, o que poderia incluir o monitoramento da expiração de domínios em contas de publicadores, exigência de verificação adicional para contas inativas, implementação de autenticação de dois fatores obrigatória ou outras medidas.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
