Uma ameaça silenciosa continua a rondar os usuários de criptomoedas, mesmo após uma grande operação de limpeza cibernética que cortou o controle dos hackers sobre seus servidores. Trata-se do ataque conhecido como "copia e cola", que age diretamente na área de transferência do dispositivo, substituindo o endereço de carteira copiado pela vítima por um endereço controlado pelos criminosos.

De acordo com a empresa de segurança CrowdStrike, a interrupção ocorrida em 31 de agosto bloqueou o envio de novas cargas maliciosas, mas o malware já instalado em milhares de dispositivos continua ativo e capaz de realizar a troca dos endereços. Isso significa que, mesmo após a desativação dos servidores de comando e controle, os usuários infectados ainda podem enviar fundos para carteiras erradas, sem perceber.

Como funciona o ataque

O ataque explora um hábito comum entre usuários de criptomoedas: copiar um endereço de carteira (uma sequência longa de caracteres) e colá-lo no campo de destino de uma transferência. O malware, que muitas vezes se instala por meio de downloads de softwares piratas, extensões de navegador comprometidas ou aplicativos falsos, monitora a área de transferência. Quando detecta um padrão que parece ser um endereço de criptomoeda, ele substitui pelo endereço do atacante.

A CrowdStrike afirma que a operação de limpeza conseguiu cortar a comunicação entre os dispositivos infectados e os servidores dos hackers, impedindo novas instruções. No entanto, o malware já embutido nos sistemas continua executando suas funções básicas, incluindo a troca de endereços. Isso ocorre porque essa funcionalidade é autônoma e não depende de conexão com os servidores externos para agir.

Impacto no mercado e na segurança

Esse tipo de ameaça é particularmente perigosa no ecossistema de finanças descentralizadas (DeFi), onde as transações são irreversíveis. Uma vez enviados para um endereço errado, os fundos dificilmente podem ser recuperados. Isso afeta não apenas investidores individuais, mas também a confiança no mercado como um todo, especialmente no Brasil, onde o número de usuários de criptomoedas vem crescendo.

Dados recentes mostram que o Brasil está entre os países com maior adoção de criptoativos, e a falta de conhecimento sobre essas ameaças pode tornar muitos usuários vulneráveis. Além disso, a popularidade de carteiras não-custodiais, nas quais o usuário é o único responsável pela segurança de seus fundos, aumenta o risco.

O que fazer para se proteger

Especialistas recomendam uma série de práticas para evitar cair nesse tipo de golpe. A primeira é sempre verificar o endereço completo antes de confirmar uma transação, comparando os primeiros e últimos caracteres. Outra medida é utilizar carteiras que permitam a adição de endereços a uma lista de contatos confiáveis, evitando a necessidade de copiar e colar a cada transação.

Também é essencial manter o sistema operacional e os softwares sempre atualizados, além de evitar downloads de fontes não oficiais. O uso de extensões de segurança que bloqueiam scripts maliciosos e a adoção de autenticação de dois fatores são camadas adicionais de proteção. Para usuários mais avançados, o uso de carteiras de hardware (cold wallets) pode eliminar completamente o risco, já que a assinatura da transação é feita em um dispositivo isolado.

O cenário atual

Embora a operação da CrowdStrike tenha sido um passo importante para reduzir o alcance dos criminosos, a empresa alerta que a limpeza completa dos dispositivos infectados exigirá ação dos próprios usuários. Muitos podem nem saber que estão infectados, já que o malware opera de forma silenciosa, sem sintomas visíveis.

O caso serve como um lembrete de que a segurança no mundo cripto vai além das exchanges e dos protocolos. Ela começa nas práticas diárias de cada usuário. Em um mercado onde a autonomia é um dos pilares, a responsabilidade pela segurança também é individual. A conscientização é a primeira linha de defesa contra ataques que, como este, continuam ativos mesmo após grandes operações de limpeza.