Falha crítica no React desencadeia uma onda de drenadores de carteiras cripto

A Security Alliance (SEAL) emitiu um alerta de que hackers estão explorando uma vulnerabilidade grave no React para assumir o controle de sites de criptomoedas. A SEAL afirmou que a vulnerabilidade está alimentando um surto de ataques de drenagem de carteiras que colocam usuários e plataformas em risco imediato.

Os React Server Components (RSCs) alimentam o resultado renderizado para os clientes (navegadores) enquanto operam no servidor, em vez de no navegador. No entanto, a equipe do React descobriu uma vulnerabilidade crítica com uma classificação máxima de gravidade de 10 em 10 nesses pacotes.

Servidores React sem correção correm risco de ataques de execução remota de código

A equipe do React emitido um aviso afirmando que a vulnerabilidade, conhecida como React2Shell e listada como CVE-2025-55182, permite que os atacantes executem remotamente código em servidores comprometidos sem exigir autenticação. Os mantenedores do React relataram a vulnerabilidade em 3 de dezembro e atribuíram a ela a pontuação máxima de gravidade possível.

De acordo com a equipe do React, o CVE-2025-55182 afeta os pacotes react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack nas versões 19.0, 19.1.0, 19.1.1 e 19.2.0.

Drenadores de Cripto usando React CVE-2025-55182

Estamos observando um grande aumento nos drenadores carregados em sites legítimos (cripto) através da exploração da recente CVE do React.

Todos os sites devem revisar o código front-end em busca de ativos suspeitos AGORA.

— Security Alliance (@_SEAL_Org) December 13, 2025

A SEAL instou que “Todos os sites devem revisar o código front-end em busca de ativos suspeitos AGORA.” A SEAL afirmou ainda que os usuários devem exercer cautela ao assinar qualquer assinatura de permissão relacionada a cripto, pois todos os sites, não apenas aqueles que usam Web3 protocolos, são vulneráveis.

De acordo com a SEAL, todas as equipes de desenvolvimento web devem verificar os hosts em busca do CVE-2025-55182 e ver se seu código está carregando inesperadamente ativos de hosts desconhecidos. A Seal instruiu ainda que as equipes devem confirmar se a carteira exibe o destinatário correto na solicitação de assinatura. As equipes também devem determinar se algum dos “Scripts” carregados por seu código é JavaScript ofuscado.

Pouco após a divulgação do CVE-2025-55182, a SEAl encontrou mais duas vulnerabilidades nos React Server Components ao testar o patch anterior. De acordo com o blog do React, a SEAL divulgou o CVE-2025-55184 e o CVE-2025-67779 (CVSS 7.5), que são identificados como vulnerabilidades de Negação de Serviço e Alta Gravidade. Em seguida, a SEAL divulgou o CVE-2025-55183 (CVSS 5.3), que os pesquisadores identificaram como Exposição de Código Fonte e Gravidade Média.

A equipe do React aconselhou que todos os sites atualizem imediatamente devido à gravidade das vulnerabilidades recentemente reveladas.

De acordo com o aviso do JS, a vulnerabilidade de negação de serviço, identificada como CVE-2025-55184, permite que os atacantes criem solicitações HTTP maliciosas e as enviem para qualquer endpoint do App Router ou Server Function. O relatório explicou ainda que essas solicitações criam um loop infinito que trava o processo do servidor e impede que futuras solicitações HTTP sejam atendidas.

De acordo com o Sistema Comum de Pontuação de Vulnerabilidades (CVSS), o CVE-2025-55184 tem uma pontuação de alta gravidade de 7,5 em 10.

O CVE-2025-55183, a segunda vulnerabilidade de vazamento de código fonte, tem uma classificação de gravidade média de 5,3 em 10.

De acordo com a Next.js, a cadeia de exploração seria semelhante. A Next.js explicadas que um endpoint suscetível recebe uma solicitação HTTP especialmente construída pelo atacante, que retorna o código fonte de qualquer Server Function. A equipe do Next.js alertou que segredos codificados e a lógica da empresa poderiam ser expostos pela divulgação do código fonte gerado.

Drenadores de cripto refinam táticas de evasão para roubo furtivo de cripto

O aumento nos drenadores, facilitado pela vulnerabilidade do React, coincide com o teste de novas estratégias por operadores de drenadores que roubam cripto e seus afiliados para evitar a detecção e explorar carteiras de criptomoedas. 

De acordo com especialistas em segurança cripto da Security Alliance (SEAL), os afiliados de drenadores agora estão utilizando domínios de alta reputação para páginas de destino e hospedagem de payloads, re-registrando domínios anteriormente válidos e implementando técnicas sofisticadas de fingerprinting. Os pesquisadores de segurança afirmou que o objetivo é disseminar drenadores de cripto, um trecho prejudicial de JavaScript injetado em sites de phishing, e frustrar pesquisadores de segurança.

A SEAL disse que as táticas de evasão variam entre afiliados de uma determinada família de drenadores e não são aplicadas de forma consistente no nível do serviço de drenagem.

Em um cenário diferente de crime cripto, o protocolo DeFi Aevo (anteriormente Ribbon Finance) . A empresa acredita que o FRUT servirá como uma “expressão de bilhete único” dos aspectos de plataforma e hardware da inteligência artificial. Isso simplesmente significa que os investidores têm acesso à infraestrutura de IA com um produto, em vez de misturar diferentes fabricantes de chips e nomes de plataformas. no domingo que $2,3 milhões haviam sido drenados de suas caixas. O criador do DeFi, Anton Cheng, afirmou que um código de Oracle atualizado, que permitia que qualquer pessoa definisse preços para novos ativos, foi a causa principal da violação.