Uma operação identificada pelo Netskope Threat Labs rouba criptomoedas e adultera a exibição de e-mails para ocultar as retiradas. Os pesquisadores estimam que os endereços associados ao esquema receberam cerca de US$ 100 mil (aprox. R$ 550 mil). O cálculo é conservador e considera apenas a primeira etapa do caminho do dinheiro.
Na Binance, o malware — um software malicioso — apresenta uma tela falsa de autenticação de dois fatores, mecanismo que exige uma segunda confirmação para acessar a conta ou autorizar ações. Enquanto a vítima observa o aviso, o programa desativa a lista de endereços autorizados para saques, converte os recursos em Bitcoin e envia o dinheiro aos responsáveis pelo golpe. A configuração analisada prevê retirar todo o saldo de contas menores e 90% do saldo de contas maiores.
Para dificultar a descoberta, o programa altera o assunto e o conteúdo das confirmações de saque exibidas no navegador em Gmail, Outlook, Yahoo e Proton, fazendo as mensagens parecerem avisos de rotina. Essa adulteração ocorre na visualização do e-mail no computador infectado. O malware também troca endereços de carteiras copiados pelo usuário: se a transferência for concluída com o destino substituído, os recursos seguem para uma carteira do esquema.
As transferências de carteiras individuais apontam entre 350 e 430 vítimas, mas essa faixa não inclui todos os usuários afetados em plataformas de negociação. Nesses casos, os recursos saem de carteiras da própria plataforma, o que impede contar as vítimas pelos registros das transações. Os responsáveis também tentam ocultar o percurso dos valores com tokens falsificados — ativos digitais fraudulentos — e movimentações que misturam o dinheiro a recursos sem relação com o golpe.
A infecção começa pela execução de arquivos compactados com um instalador e componentes maliciosos em computadores com Windows. O programa abre o Chrome ou o Edge com o perfil da vítima e aproveita contas que já estão conectadas. O Netskope Threat Labs recomenda conferir os saques por um canal separado, sem depender apenas dos e-mails, e investigar e remover o malware do equipamento: bloquear sua comunicação com os servidores do golpe não elimina a ameaça instalada.
