Hackers norte-coreanos usam IA para criar vídeos deepfake e invadir o setor das criptomoedas: o conteúdo da área de transferência torna-se um novo alvo de espionagem

A indústria de criptomoedas enfrenta uma nova vaga de ameaças vindas do Norte. Através de chamadas de vídeo geradas por IA, hackers que se passam por conhecidos estão a lançar ataques de engenharia social cada vez mais sofisticados contra profissionais do setor de criptografia. Esses atacantes não apenas conseguem falsificar a identidade visual, mas também podem implantar programas maliciosos avançados nos dispositivos das vítimas, abrir a área de transferência e lê-la automaticamente, roubando chaves de carteira e dados confidenciais.

Chamadas de vídeo por IA: uma nova forma de phishing de identidade

De acordo com a organização de pesquisa de segurança Huntress, esse tipo de ataque geralmente é iniciado por contas do Telegram já comprometidas. Os atacantes utilizam tecnologia de IA para gerar imagens de vídeo realistas, fingindo ser colegas ou figuras de confiança do setor. Durante a chamada, eles usam diversos pretextos (como problemas de áudio no Zoom que precisam ser resolvidos) para enganar o usuário e fazê-lo instalar um “plugin” aparentemente inofensivo. Este software, que parece resolver problemas técnicos, na verdade é um malware cuidadosamente disfarçado.

Infecção em múltiplas camadas: de backdoors à vazamento na área de transferência

Uma vez que o usuário é enganado e instala esses programas maliciosos, os atacantes podem invadir dispositivos macOS de forma multilayer. Primeiramente, eles implantam backdoors no sistema, garantindo acesso remoto de longo prazo. Em seguida, scripts maliciosos começam a monitorar o teclado, registrando cada tecla pressionada — seja a senha de uma exchange ou a chave privada, nada escapa ao rastreamento.

Mais perigoso ainda, esses programas podem monitorar e capturar o conteúdo da área de transferência em tempo real. Quando o usuário copia informações sensíveis, os atacantes automaticamente obtêm esses dados. Isso significa que qualquer operação de colar — endereço de transferência, fragmento de chave, instruções de transação — pode ser interceptada. Os atacantes não apenas roubam dados estáticos, mas também podem obter informações sensíveis atualizadas no momento exato da operação, permitindo acesso direto aos ativos na carteira de criptomoedas.

Operações de nível estatal pelo grupo Lazarus

O responsável pela segurança da SlowMist confirmou que esses ataques cuidadosamente planejados vêm do Lazarus Group (também conhecido como BlueNoroff), uma organização de hackers avançados apoiada pelo Estado da Coreia do Norte. Essa organização já realizou ataques em larga escala contra desenvolvedores de criptomoedas e exchanges. A atividade demonstra uma forte reutilização de técnicas — os mesmos métodos são empregados em múltiplos alvos, especialmente em carteiras específicas e figuras-chave do setor de criptografia.

A análise da Huntress indica que essas operações de ataque apresentam características técnicas altamente semelhantes às atividades anteriores do grupo, sugerindo que se trata de uma ação organizada e contínua, e não de incidentes isolados.

O dilema da autenticação e estratégias de defesa

Com o avanço de tecnologias de troca de rosto por IA, clonagem de voz e outras, a validação de identidade por meio de elementos visuais e auditivos torna-se cada vez mais insegura. Os usuários já não podem confiar apenas no que veem e ouvem para verificar a identidade do interlocutor.

Para combater essas ameaças, profissionais do setor de criptografia precisam adotar estratégias de defesa multifacetadas. Primeiramente, reforçar a autenticação de múltiplos fatores — não depender de um único método de verificação. Em segundo lugar, manter cautela com chamadas de vídeo de estranhos, especialmente quando envolvem solicitações de instalação de softwares. Terceiro, atualizar regularmente sistemas e aplicativos, e restringir permissões desnecessárias. O mais importante é estar ciente de que, mesmo que a chamada pareça vir de alguém conhecido, ela pode ser uma falsificação elaborada; qualquer solicitação que envolva permissões de sistema ou operações sensíveis deve ser verificada por canais independentes.