Dados de criptomoedas roubados são vendidos na dark web por $105

Contas de criptomoedas roubadas são vendidas na dark web por um preço médio de $105. Os dados são coletados de ataques de phishing e são considerados o primeiro passo em uma complexa cadeia de suprimentos de roubo.

O preço de uma única conta de criptomoeda varia entre $60 e $400, de acordo com a SecureList. Os hackers capturam dados de criptomoedas, os monetizam imediatamente ou os mantêm em um banco de dados. O destino final depende do tipo e da qualidade dos dados capturados.

Como os dados de criptomoedas roubados saem dos sites de phishing

Os dados de criptomoedas capturados deixam uma página de phishing de três maneiras: entrega por e-mail, entrega por bot do Telegram ou upload no painel de administração.

Os atacantes também abusam de serviços legítimos para esconder suas atividades. Isso inclui Google Forms, Microsoft Forms, GitHub, Discord e outras plataformas semelhantes.

Na entrega por e-mail, os dados são coletados de formulários HTML falsos e enviados para um script do lado do servidor, geralmente PHP. O script então encaminha os detalhes roubados para um endereço de e-mail controlado pelo atacante.

Um kit de phishing possui um arquivo para hospedar a página de login falsa, um script para processar o formulário e um terceiro arquivo contendo o endereço de e-mail do atacante. No entanto, a entrega por e-mail está diminuindo devido a atrasos, bloqueios dos provedores e baixa escalabilidade.

Em vez de e-mail, muitos kits agora enviam dados diretamente para bots do Telegram. O script malicioso chama a API do Telegram usando um token de bot e um ID de chat. Às vezes, a chamada da API está embutida diretamente no código HTML.

O Telegram tornou-se um canal preferido para hackers. Os dados roubados chegam instantaneamente. Os operadores recebem alertas em tempo real. Os bots são descartáveis e difíceis de rastrear. E o hospedagem não importa muito.

Atacantes avançados preferem painéis de administração. Eles fazem parte de uma estrutura ou esqueleto que captura dados de criptomoedas e os envia para um banco de dados. O atacante gerencia os dados por meio de uma interface web.

Os painéis de administração fornecem estatísticas em tempo real por hora e país. Incluem verificações automatizadas de credenciais. A estrutura também exporta dados para revenda ou reutilização. Esses painéis são essenciais para operações de phishing organizadas.

Vendendo dados de criptomoedas roubados

Os dados de criptomoedas são valiosos porque muitas vezes levam a fundos. Os dados roubados podem ser vendidos em tempo real ou entrar em um pipeline de revenda, de acordo com a SecureList da Kaspersky.

Os hackers visam logins de exchanges, acesso a carteiras e contas de conversão de fiat. Outros dados visados incluem credenciais de conta, números de telefone e dados pessoais.

Logins de carteiras com códigos de uso único ou contas vinculadas a conversões de fiat qualificam-se para vendas em tempo real. Os dados restantes são usados para ataques subsequentes.

Números de telefone podem ser usados para golpes por SMS ou interceptação de 2FA. Dados pessoais são utilizados para engenharia social. Documentos de identificação, voz, dados faciais ou selfies com documentos são usados para abusos de alto risco.

O pipeline de revenda começa com vendas de dumps. Os dados são agrupados em grandes arquivos ou dumps. Eles contêm milhões de registros de ataques de phishing. Intermediários compram dumps por tão pouco quanto $50.

Uma vez que um dump é adquirido, os intermediários filtram e testam os dados. Em seguida, scripts automatizados verificam se as credenciais ainda funcionam ou não. O código também vê onde mais eles podem ser reutilizados.

A reutilização de senhas torna os dados antigos valiosos. Um login roubado há anos ainda pode desbloquear uma conta diferente hoje. Em seguida, os dados de vários ataques são mesclados. Uma senha, número de telefone e registro de antigo empregador podem criar um único perfil de usuário.

Uma vez que os dados roubados são limpos e organizados, estão prontos para revenda aos golpistas. Os dados verificados são vendidos em fóruns da dark web e canais do Telegram.

O Telegram frequentemente atua como uma vitrine com preços e feedback dos compradores. Os preços variam com base na idade da conta, saldo, pagamentos vinculados e status de 2FA.

Faixas de preço típicas:

• Contas de criptomoedas: $60 – $400.

• Redes sociais: centavos a centenas de dólares.

• Aplicativos de mensagens: centavos a $150.

• Documentos pessoais: $0.5–$125.

A análise da Kaspersky mostrou que 88,5% dos ataques visam credenciais de conta. Cerca de 9,5% roubam dados de identidade pessoal, enquanto apenas 2% coletam detalhes de cartões bancários. A empresa de cibersegurança analisou ataques de phishing de janeiro a setembro de 2025.

Os dados de criptomoedas roubados são um ativo valioso para cibercriminosos. Eles são armazenados, avaliados, comercializados e reutilizados. Um único erro de phishing pode levar a grandes hacks de criptomoeda, mesmo anos depois.