Uma oferta de emprego falsa na área de criptomoedas que infectou um dispositivo fornecido pela empresa resultou em perdas de US$ 11,8 milhões depois que os atacantes obtiveram acesso aos sistemas corporativos e contornaram os controles de transação, disseram as autoridades de Singapura.
Resumo
- Uma oferta de emprego falsa na área de criptomoedas levou a perdas de US$ 11,8 milhões depois que um malware infectou um dispositivo da empresa.
- Os atacantes roubaram um token de sessão, contornaram a autenticação multifator e acessaram o repositório Bitbucket da empresa.
- As credenciais roubadas foram posteriormente usadas para contornar limites de transação e verificações de aprovação para transferências de criptomoedas.
- As autoridades de Singapura instaram as empresas a proteger credenciais, repositórios de código e sistemas de implantação.
A Polícia de Singapura e a Agência de Segurança Cibernética de Singapura disseram em 14 de agosto que a vítima foi contatada pela primeira vez no LinkedIn por um golpista que se passava por recrutador de uma empresa relacionada a criptomoedas, iniciando um processo de entrevista que eventualmente deu aos atacantes acesso ao empregador da vítima.
A comunicação passou do LinkedIn para o e-mail, onde o suposto recrutador usou um domínio falsificado que se assemelhava muito ao endereço da empresa legítima. A vítima também participou de várias entrevistas pelo Google Meet, embora a pessoa que conduzia as entrevistas mantivesse a câmera desligada durante as chamadas.
À medida que o processo de recrutamento avançava, a vítima foi enviada para um site falsificado e solicitada a concluir uma avaliação técnica de codificação em um dispositivo fornecido pela empresa. Software malicioso foi baixado durante a avaliação sem que a vítima percebesse que o dispositivo havia sido comprometido.
Avaliação de emprego falsa em criptomoedas abriu acesso aos sistemas corporativos
Uma vez instalado, o malware coletou o token de sessão da vítima, disseram a SPF e a CSA. Os atacantes então usaram o token roubado para contornar a autenticação multifator e obter acesso à conta Bitbucket da vítima, que estava conectada ao repositório de código do empregador.
Bitbucket é um serviço de hospedagem de repositórios de código usado por equipes de desenvolvimento de software para armazenar, gerenciar e colaborar no código-fonte. O acesso a uma conta de funcionário pode, portanto, expor mais do que o dispositivo individual quando a conta tem permissões vinculadas a repositórios da empresa ou outros sistemas de desenvolvimento.
Após entrar na conta Bitbucket, os atacantes modificaram as instruções automatizadas de implantação de software da empresa, de acordo com as duas agências. A intrusão então se moveu para a infraestrutura interna da empresa, pois os atacantes acessaram remotamente seus servidores.
As credenciais coletadas durante o comprometimento permitiram que os atacantes contornassem os limites de transação e as verificações de aprovação usadas para controlar transferências de criptomoedas. A SPF e a CSA disseram que os atacantes posteriormente realizaram transações de criptomoedas que resultaram em perdas totalizando US$ 11,8 milhões.
O uso de uma avaliação de codificação como método de entrega de malware se assemelha a ataques documentados anteriormente no setor de criptomoedas, onde desenvolvedores e outros funcionários técnicos são abordados com ofertas de emprego antes de serem solicitados a executar código ou instalar software.
Em maio, o crypto.news relatou sobre o malware TrapDoor, que visava desenvolvedores de criptomoedas e inteligência artificial por meio de pacotes de software maliciosos. A plataforma de segurança para desenvolvedores Socket encontrou pelo menos 34 pacotes maliciosos e 384 versões conectadas nos ecossistemas npm, PyPI e Rust.
De acordo com a Socket, os pacotes foram projetados para roubar informações de carteiras de criptomoedas, juntamente com tokens do GitHub, chaves de API, credenciais de nuvem e acesso SSH. A campanha colocou os ambientes de desenvolvimento no ponto de comprometimento, permitindo que os atacantes visassem credenciais que pudessem fornecer acesso a sistemas fora das contas pessoais de criptomoedas da vítima.
Trabalhadores de criptomoedas enfrentaram ataques repetidos de malware baseados em recrutadores
Uma campanha de malware Obsidian em abril usou LinkedIn e Telegram para abordar profissionais de criptomoedas e finanças. A Elastic Security Labs descobriu que os atacantes contavam com engenharia social para convencer os alvos a instalar plugins comunitários maliciosos para o aplicativo legítimo de anotações Obsidian.
O malware, identificado como PHANTOMPULSE, usou três redes blockchain para receber comandos e manter persistência, de acordo com a Elastic Security Labs. Os pesquisadores recomendaram políticas rigorosas de plugins em nível de aplicação em empresas financeiras para reduzir o risco de software de produtividade legítimo ser transformado em um ponto de entrada para atacantes.
Durante o mesmo mês, o provedor de carteiras Zerion confirmou uma violação de US$ 100.000 ligada a uma operação de engenharia social de longa duração associada a atacantes norte-coreanos. A violação de segurança da Zerion envolveu atacantes usando inteligência artificial para se passar por contatos de confiança antes de comprometer credenciais de carteiras quentes.
Pesquisadores da Security Alliance conectaram essa campanha a 164 domínios maliciosos usados em tentativas de infiltrar empresas de criptomoedas por meio de serviços como Slack e LinkedIn. A Zerion disse que os atacantes visaram o lado humano de suas operações em vez de quebrar diretamente sua tecnologia subjacente de carteira.
A SPF e a CSA não atribuíram a perda mais recente de US$ 11,8 milhões à Coreia do Norte ou a qualquer outro grupo de hackers.
Engenharia social baseada em recrutamento, no entanto, foi usada anteriormente por atores de ameaças norte-coreanos contra empresas de criptomoedas. Google Cloud e Wiz relataram em 2025 que UNC4899, também conhecido como TraderTraitor, abordou funcionários de empresas de cripto através do LinkedIn e Telegram enquanto se passava por recrutadores.
Em incidentes envolvendo abordagens de trabalho remoto, funcionários foram persuadidos a executar contêineres Docker maliciosos em suas estações de trabalho. Os contêineres implantaram downloaders e backdoors conectados à infraestrutura controlada pelos atacantes, após o que o grupo se moveu pelas redes internas, coletou credenciais e procurou sistemas usados para processar transações de criptomoedas.
O Google disse que um incidente permitiu que UNC4899 desabilitasse a autenticação multifator em uma conta privilegiada do Google Cloud e acessasse serviços relacionados a carteiras. O grupo está ativo desde pelo menos 2020 e tem se concentrado fortemente em empresas de criptomoedas e blockchain, de acordo com a pesquisa de ameaças da empresa.
Autoridades de Singapura pedem controles mais rígidos de repositórios e credenciais
Após o incidente mais recente, a SPF e a CSA aconselharam empresas e indivíduos, particularmente aqueles que operam em tecnologia e criptomoedas, a verificar as identidades dos recrutadores e as empresas que eles afirmam representar antes de interagir com arquivos, sites ou software relacionados a empregos.
As empresas também foram aconselhadas a proteger chaves de interface de programação de aplicativos e credenciais internas, enquanto fortalecem a autenticação multifator. Proteger repositórios de código e pipelines de implantação de software foi especificamente recomendado porque o acesso a esses sistemas pode permitir que um comprometimento que começa em um dispositivo de funcionário alcance a infraestrutura da empresa.
As agências também instaram as empresas a revisar como credenciais sensíveis são armazenadas e acessadas. No caso mais recente, credenciais coletadas após o comprometimento inicial foram usadas para contornar limites de transação e verificações de aprovação, permitindo que os atacantes executassem transferências de criptomoedas.
O acesso de desenvolvedores permaneceu um alvo recorrente porque repositórios de software e ferramentas relacionadas podem conter credenciais ou fornecer rotas para sistemas em nuvem e de produção. A campanha TrapDoor descoberta em maio, por exemplo, visou tokens do GitHub, chaves SSH e credenciais de nuvem, juntamente com dados de carteiras de criptomoedas, dando aos atacantes vários tipos de acesso a partir de um único ambiente de desenvolvedor infectado.
Golpes de recrutamento anteriores usaram etapas semelhantes com diferentes métodos de entrega de malware. Uma campanha de entrevista falsa de dezembro de 2024 abordou profissionais de Web3 através do LinkedIn, Telegram e plataformas freelance com ofertas de emprego lucrativas.
Os alvos foram direcionados a um serviço de entrevista por vídeo e fizeram perguntas comuns do setor antes de chegar a uma tarefa final em vídeo. Quando as vítimas encontravam um suposto problema de microfone ou câmera, eram mostradas instruções de solução de problemas que exigiam que executassem comandos em seus computadores.
O investigador on-chain Taylor Monahan disse na época que executar os comandos poderia dar aos atacantes acesso geral ao dispositivo, criando oportunidades para roubar informações sensíveis, monitorar atividades ou comprometer carteiras de criptomoedas.
Dispositivos comprometidos devem ser isolados imediatamente
Para empresas que suspeitam que um dispositivo de funcionário ou sistema interno já foi violado, a SPF e a CSA aconselharam isolar equipamentos ou sistemas afetados imediatamente.
Sessões ativas devem ser revogadas e credenciais redefinidas, enquanto os logs de acesso devem ser examinados em busca de sinais de que invasores entraram em outras contas ou na infraestrutura da empresa. As autoridades também aconselharam as empresas a verificar se repositórios de código, servidores internos, contas ou fluxos de aprovação foram alterados durante o comprometimento.
Para indivíduos, as agências recomendaram tratar abordagens de recrutamento não solicitadas com cautela e verificar de forma independente tanto o recrutador quanto a empresa envolvida. Foi aconselhada atenção extra quando um processo de entrevista exige que os candidatos baixem arquivos, executem código desconhecido ou usem sites fornecidos por pessoas que não verificaram de forma independente.
As empresas foram aconselhadas separadamente a revisar o acesso a chaves de API e outras credenciais internas, fortalecer os controles de autenticação multifator e proteger a infraestrutura de desenvolvimento, incluindo repositórios e pipelines de implantação automatizados.
