Um grupo identificado como SLIM SPIDER invadiu servidores em nuvem de uma instituição financeira brasileira durante março de 2026, segundo um relatório técnico da CrowdStrike. O alvo eram chaves de custódia — credenciais usadas para controlar carteiras e movimentar criptoativos — e acessos relacionados ao Pix.
A equipe de inteligência da empresa afirma que os invasores usaram códigos próprios para extrair credenciais temporárias por conexões de rede sem acionar as ferramentas de proteção. Com o acesso, obtiveram pelo menos seis chaves secretas ligadas à custódia de fundos digitais da instituição.
Depois, o grupo recorreu a uma ferramenta do ecossistema Ethereum para identificar os endereços públicos das carteiras atacadas. Também instalou arquivos maliciosos disfarçados de programas legítimos e assumiu o controle de áreas internas e de aplicações hospedadas na nuvem.
Para o leitor no Brasil, o caso mostra por que chaves privadas e credenciais ligadas ao Pix precisam de proteção separada e monitoramento contínuo. O programa espião identificado no ataque fazia referência ao SPI, sistema do BCB que liquida as transferências entre instituições financeiras.
A CrowdStrike diz que grupos criminosos estão mirando empresas que custodiam grandes reservas de criptomoedas, em vez de se limitar a golpes contra pessoas físicas. A empresa afirma que sua equipe OverWatch mapeou os rastros da invasão para criar mecanismos capazes de detectar conexões atípicas e bloquear a coleta indevida de credenciais antes de uma fraude.
