Ligas a carteira de criptomoedas ao computador, abres a aplicação de sempre e ela mostra-te um ecrã de recuperação a pedir as 24 palavras. O desenho é o certo, o momento é o certo, aparece logo a seguir a teres ligado o aparelho. Não é a tua carteira a falar contigo, é um módulo chamado SeedHunter, descrito a 15 de julho pela equipa de investigação GReAT da Kaspersky num relatório sobre o OkoBot, um conjunto de mais de vinte programas maliciosos que trabalham em coordenação num computador Windows.
O que interessa neste caso não é o roubo, é onde ele acontece. A carteira de hardware não foi vencida, ninguém quebrou a criptografia nem arrombou o dispositivo, e a chave privada continuou onde sempre esteve, lá dentro. O atacante limitou-se a mudar o ecrã onde tu leste o pedido, e é aí que estas campanhas ganham, na janela em que confias sem pensar.
O pedido aparece dentro da aplicação verdadeira
O SeedHunter vigia os processos em execução e injeta-se no Trezor Suite, no Ledger Wallet e no Ledger Live. Como estas aplicações são feitas em Electron, a tecnologia que constrói programas de secretária com as peças de um browser, o implante consegue agarrar por dentro as funções que desenham as janelas e acrescentar uma página que a aplicação nunca teve, com um layout diferente para cada carteira que deteta. Quando está configurado para esperar, faz varrimentos periódicos das portas USB à procura dos identificadores de fabricante e de produto, e só dispara o pedido quando vê o aparelho ligado, ou seja, no instante exato em que estás à espera de interagir com ele. O ecrã do dispositivo não mostra nada, porque nenhum pedido legítimo lhe chegou.
O apoio da Ledger repete isto há anos, nunca pede as 24 palavras e não existe nenhuma boa razão para escrever a frase de recuperação num computador. Parece burocracia até ao dia em que a janela que pede é a oficial.
Levar as poupanças é só metade do trabalho
O módulo das carteiras é um entre mais de vinte. O mesmo conjunto tira uma fotografia ao ecrã de cinco em cinco minutos, copia tudo o que passa pela área de transferência e vigia uma lista de mais de cem programas, entre eles carteiras de software como o Exodus e gestores de palavras-passe como o KeePassXC e o 1Password, filmando a janela em vídeo e registando as teclas quando reconhece uma delas. Instala ainda extensões escondidas no browser e cria uma conta no grupo de acesso remoto, mantendo um túnel SSH, uma ligação encriptada de administração à distância, que reencaminha essa porta de hora a hora. Depois de te levar as cripto, fica com a casa aberta.
A entrada faz-se por duas vias banais. Uma é o ClickFix, a burla que te mostra um erro falso e te convence a colar um comando na consola do Windows para «resolver» o problema. A outra é software adulterado no GitHub, e o exemplo do relatório é cruel, um repositório que se fazia passar pelo SQL Server Management Studio da Microsoft, aparecia no topo dos resultados para a pesquisa «SSMS» e entregava o Audacity verdadeiro com um implante enterrado numa das bibliotecas.
A telemetria da Kaspersky conta centenas de vítimas em mais de 25 países, com maior concentração no Brasil, Vietname, Canadá, México e Turquia. Dmitry Galov, responsável pela unidade da Rússia e CEI na equipa de investigação, diz que a campanha está ativa há mais de um ano e continuava a decorrer em julho de 2026.
Portugal não consta da lista, o que não significa grande coisa. A 23 de junho, o Comando Distrital de Leiria da PSP alertou para duas vítimas nas Caldas da Rainha, com um prejuízo conjunto de cerca de 140 mil euros em burlas com criptoativos, e num dos passos do esquema os burlões pediram acesso remoto ao computador. É a mesma peça, pedida à mão em vez de instalada por programa.
Como te proteges
- A frase de recuperação escreve-se uma vez, no próprio aparelho. Se o pedido aparecer no ecrã do computador é fraude, sem exceções e independentemente do aspeto da janela.
- Confirma sempre a operação no ecrã pequeno do dispositivo, que é a única superfície que o atacante não controla.
- Nunca coles comandos que uma página te mandou copiar, por mais convincente que seja o erro apresentado.
- Descarrega software apenas do site oficial do fabricante, nunca do primeiro resultado do motor de busca.
- Se desconfias da máquina, trata-a como comprometida e move os fundos a partir de outro equipamento, com uma frase nova.
- Procura os sinais do OkoBot, uma tarefa agendada chamada «Apple Sync», o ficheiro
hwid.datem%PROGRAMDATA%, contas desconhecidas no grupo de utilizadores de ambiente de trabalho remoto e ligações SSH a sair de um posto de trabalho normal.
A frase de recuperação é como uma prova num processo, só vale enquanto ninguém lhe tocou, e a cadeia de custódia parte-se no ponto mais fraco por onde ela passou. O aparelho que compraste continua a fazer o trabalho dele e mostra-te a verdade num ecrã minúsculo que ninguém consegue redesenhar. Habitua-te a acreditar nesse, e não naquele onde é mais confortável ler.
Fontes: Securelist, Kaspersky GReAT, The Hacker News, Diário de Notícias.
#StaySafe
🙏🖖
