Uma família de malware conhecida como Sality, ativa desde 2003, tem estado a redirecionar silenciosamente pagamentos em criptomoedas, substituindo endereços de carteiras em máquinas infetadas, segundo novos dados agora divulgados. A técnica, que visa transações tanto em Bitcoin como em Ethereum, estará em funcionamento há oito anos.
O Sality não é uma ameaça nova. Surgiu há mais de duas décadas como um vírus que infetava ficheiros e evoluiu desde então através de múltiplas iterações, adaptando-se a novas superfícies de ataque à medida que estas foram surgindo. A adição da manipulação de carteiras de criptomoedas representa uma das suas capacidades mais recentes e financeiramente mais relevantes.
O mecanismo é simples mas eficaz: uma vez comprometido o dispositivo, o malware monitoriza a área de transferência ou o processo de transação à procura de endereços de carteiras e substitui-os por endereços controlados pelos atacantes. Como as transações em criptomoedas são irreversíveis depois de confirmadas na blockchain, as vítimas que não verifiquem cuidadosamente o endereço de destino antes de enviar fundos não têm forma de recuperar os pagamentos desviados.
Dimensão da infeção
Mais de 15 mil computadores foram infetados pelo Sality, de acordo com os números citados na divulgação. A escala sugere uma operação persistente e de baixa visibilidade, e não uma violação isolada e mediática, com as infeções a acumular-se aparentemente de forma constante ao longo dos anos, em vez de num pico súbito.
A escolha de Bitcoin e Ethereum como alvos não é surpreendente, dado o estatuto destas duas criptomoedas como as mais amplamente detidas e transacionadas, o que oferece aos atacantes o maior conjunto possível de potenciais vítimas e a maior liquidez para branquear os fundos desviados.
O que isto significa para os utilizadores
A persistência de malware de substituição de endereços como o Sality sublinha uma fragilidade recorrente na segurança das criptomoedas: o momento em que um utilizador copia e cola um endereço de carteira é frequentemente o ponto de maior vulnerabilidade, independentemente do grau de segurança do próprio protocolo blockchain subjacente. Medidas básicas de higiene digital, incluindo a verificação manual dos primeiros e últimos carateres de um endereço de destino antes de confirmar uma transferência, continuam a ser uma das poucas defesas eficazes contra este tipo de ataque.
Não foram divulgados mais detalhes sobre a identidade dos responsáveis pela operação Sality, o valor total dos fundos desviados através do esquema, ou medidas específicas de mitigação a serem tomadas por investigadores de segurança ou plataformas de criptomoedas em resposta.
