Os bitcoiners estão enfrentando um novo aviso sobre uma campanha ativa de engenharia social que sequestra contas confiáveis do Telegram e direciona profissionais de criptomoedas para reuniões falsas do Zoom ou Microsoft Teams.
Resumo
- BlueNoroff está sequestrando contas do Telegram e usando reuniões falsas do Zoom ou Teams contra profissionais de criptomoedas.
- A JUMPSEC descobriu que o kit de phishing perfilha carteiras de criptomoedas antes que os operadores entreguem malware seletivamente às vítimas.
- A Security Alliance atribuiu 164 domínios bloqueados à UNC1069 apenas entre fevereiro e início de abril de 2026.
- A Mandiant observou contas comprometidas do Telegram, chamadas falsas do Zoom, comandos ClickFix e malware direcionados a organizações de criptomoedas.
- As orientações do FBI recomendam verificação independente de identidade e manter segredos de carteira fora de dispositivos conectados à internet sempre que possível.
A Lightning News levantou o alarme em 7 de agosto, citando relatos recentes de membros da comunidade Bitcoin. Pesquisas de segurança independentes confirmam a cadeia de ataque central, embora nem todas as alegações tenham sido verificadas.
A JUMPSEC disse em julho que obteve o código-fonte de um kit de phishing ativo do BlueNoroff após a exposição de mapas de fonte JavaScript. Os pesquisadores encontraram uma plataforma de aquisição de vítimas que abusa de contatos comprometidos do Telegram, perfilha carteiras de criptomoedas e entrega malware a alvos selecionados em sistemas Windows e macOS. A JUMPSEC disse que a infraestrutura de campanha identificada permaneceu ativa até 22 de julho.
O ataque começa com confiança, não com uma vulnerabilidade de blockchain. A JUMPSEC descobriu que os operadores usam contas comprometidas do Telegram pertencentes a contatos reais do setor para convidar alvos para reuniões de vídeo falsas. Como as mensagens chegam de contas genuínas e podem referenciar relacionamentos existentes, o reconhecimento do remetente sozinho fornece proteção limitada.
A Google Mandiant documentou independentemente uma intrusão semelhante da UNC1069 em fevereiro. Uma vítima recebeu mensagens da conta do Telegram de um executivo de criptomoedas comprometido, agendou uma reunião e foi redirecionada para um domínio falso do Zoom. A vítima relatou ter visto o que parecia ser um vídeo gerado por IA de outro executivo de criptomoedas durante a chamada encenada.
A atribuição precisa de precisão. A Mandiant rastreia o ator como UNC1069 e diz que ele se sobrepõe ao BlueNoroff. O Tesouro dos EUA designou formalmente o BlueNoroff, também conhecido como APT38, como um grupo patrocinado pelo Estado norte-coreano controlado pelo Bureau de Reconhecimento Geral. A Security Alliance também atribui a campanha de reuniões falsas à UNC1069, ou BlueNoroff.
Reuniões falsas empurram comandos ClickFix e malware
O kit reconstruído pela JUMPSEC mostra uma interface de reunião encenada pedindo acesso à webcam antes que um operador entre com vídeo pré-gravado. A vítima então vê um suposto problema de áudio e uma atualização de software falsa. O texto de solução de problemas exibido é enganoso: copiá-lo coloca um comando ClickFix controlado pelo atacante na área de transferência.
No Windows, a JUMPSEC observou componentes PowerShell e VBScript capazes de desativar defesas, conduzir reconhecimento e apoiar acesso posterior. No macOS, os pesquisadores encontraram scripts de shell e payloads Mach-O projetados para roubar credenciais e outros dados sensíveis. O kit também verifica provedores de carteira de navegador antes da entrega de malware, ajudando os operadores a identificar alvos valiosos.
Isso significa que a alegação de que simplesmente abrir um link de reunião drena automaticamente uma carteira é ampla demais. Nas cadeias documentadas, o comprometimento requer outra ação, como executar um comando copiado ou uma atualização maliciosa. No entanto, uma vez que o malware é executado, a Mandiant encontrou ferramentas capazes de roubar dados do navegador, credenciais do Keychain e dados de usuário do Telegram.
Pesquisadores de segurança afirmam que a campanha continua ampla
A Security Alliance relatou que atribuiu 164 domínios bloqueados à UNC1069 entre 6 de fevereiro e 7 de abril. Seu aviso descreveu engenharia social de várias semanas por meio do Telegram, LinkedIn e Slack antes de links fraudulentos do Zoom ou Teams serem entregues. A JUMPSEC posteriormente expandiu o panorama da infraestrutura e disse que a infraestrutura de alta e média confiança permanecia ativa no final de julho.
O FBI alertou separadamente que atores norte-coreanos realizam engenharia social altamente personalizada contra funcionários de criptomoedas e DeFi. Sua orientação sinaliza especificamente solicitações para executar código, instalar aplicativos desconhecidos, executar scripts para corrigir chamadas de vídeo ou mover conversas entre plataformas de comunicação.
O FBI recomenda verificar identidades por meio de um canal independente e manter credenciais de carteira, frases-semente e chaves privadas fora de dispositivos conectados à internet. A autenticação de dois fatores continua útil, mas dispositivos infectados podem expor dados de sessão, portanto, sessões comprometidas também devem ser revogadas de um dispositivo limpo.
O que os usuários de Bitcoin e criptomoedas devem observar a seguir
A correção mais importante do aviso de 7 de agosto é que os pesquisadores não estabeleceram um método universal para a tomada inicial do Telegram. Alegações de que números expirados ou temporários são a principal causa permanecem não verificadas no material revisado. Os pesquisadores confirmam contas comprometidas, mas o mecanismo de tomada pode variar.
Em cobertura separada da plataforma Telegram, a Apple removeu brevemente o aplicativo de mensagens de sua App Store devido a uma revisão de política de CSAM antes de restaurá-lo após o Telegram remover o conteúdo sinalizado e banir o usuário responsável.
Os usuários devem tratar solicitações de reuniões inesperadas, mudanças de domínio, avisos de correção de áudio e solicitações para colar comandos como sinais de alto risco. Se código suspeito já foi executado, o FBI aconselha desconectar o dispositivo afetado da internet, mantendo-o ligado para possível recuperação forense, e depois contatar especialistas em resposta a incidentes e autoridades policiais.
A campanha é, portanto, melhor descrita como uma operação contínua de engenharia social ligada à Coreia do Norte, visando a camada humana em torno da custódia de criptomoedas. Sua eficácia vem da exploração de identidades confiáveis e ferramentas familiares de local de trabalho, não de quebrar o Bitcoin em si.
