Como uma aprovação de carteira apagou uma carteira criptografada

Um usuário de criptografia conhecido como The Smart Ape disse que perdeu cerca de US$ 5.000 em uma carteira quente depois de passar três dias em um hotel, não porque clicou em um link de phishing, mas porque cometeu uma série de “erros estúpidos”, incluindo usar uma rede WiFi aberta, atender um telefonema no saguão e aprovar o que parecia ser uma solicitação rotineira de carteira.

O incidente, analisado pela empresa de segurança Hacken para o Cointelegraph, mostra como os invasores podem combinar truques no nível da rede com dicas sociais e pontos cegos de UX da carteira para drenar fundos dias depois que a vítima assina uma mensagem aparentemente benigna.

Como o WiFi do hotel se tornou uma ameaça

Segundo o relato da vítima, o ataque começou quando ela conectou seu laptop ao WiFi aberto do hotel, um portal cativo e sem senha, e começou a “trabalhar normalmente, nada de risco, apenas escaneando Discord e X, e verificando saldos”.

O que ele não sabia é que em redes abertas todos os convidados compartilham efetivamente o mesmo ambiente local.

Dmytro Yasmanovych, líder de conformidade de segurança cibernética da Hacken, disse ao Cointelegraph: “Os invasores podem explorar a falsificação do protocolo de resolução de endereços (ARP), a manipulação do sistema de nomes de domínio (DNS) ou pontos de acesso não autorizados para injetar JavaScript malicioso em sites legítimos. Mesmo que o próprio front-end do DeFi seja confiável, o contexto de execução pode não ser mais.”

Relacionado: Pectra permite que hackers drenem carteiras com apenas uma assinatura offchain

Ao falar sobre criptografia pinta um alvo

O invasor descobriu rapidamente que o usuário estava “envolvido com criptografia” depois de ouvi-lo discutir suas propriedades em um telefonema no saguão do hotel. Essa informação restringiu o alvo e sugeriu a provável pilha de carteiras (neste caso, Phantom on Solana, que não foi comprometida como fornecedora de carteira).

A exposição do seu perfil criptográfico no mundo físico é um risco de longa data. O engenheiro de Bitcoin e especialista em segurança Jameson Lopp argumentou repetidamente que falar abertamente sobre criptografia ou ostentar riqueza é uma das coisas mais arriscadas que você pode fazer.

“Os ataques cibernéticos não começam no teclado”, alertou Yasmanovych. “Eles geralmente começam com observação. Conversas públicas sobre ativos criptográficos podem funcionar como reconhecimento, ajudando os invasores a escolher as ferramentas, carteiras e timing certos.”

Como uma única aprovação esgotou a carteira

O momento chave aconteceu quando o usuário assinou o que considerou uma transação normal. Durante a troca em um front-end legítimo de finanças descentralizadas (DeFi), o código injetado substituiu ou acompanhou uma solicitação de carteira que pedia permissão em vez de uma transferência de token.

Yasmanovych observou que esse padrão se enquadra em uma classe de ataques mais ampla e cada vez mais comum, conhecida como abuso de aprovação. “O invasor não rouba chaves nem drena fundos imediatamente. Em vez disso, ele obtém permissões permanentes e espera, às vezes dias ou semanas, antes de executar a transferência real.”

Relacionado: O hack de US$ 7 milhões da Trust Wallet mostra onde as PMEs amigas da criptografia podem ser vulneráveis

Quando a vítima percebeu, a carteira já estava vazia de Solana (SOL) e outros tokens.

“Nesse ponto, o invasor tinha tudo de que precisava. Ele esperou até eu sair do hotel para transferir meu SOL, mover meus tokens e enviar meus NFTs para outro endereço.”

A carteira da vítima era uma carteira quente secundária, então o dano foi limitado, mas a sequência mostra quão pouco é necessário para roubar os fundos dos usuários: uma rede não confiável, um momento de desatenção e uma aprovação assinada.

Yasmanovych recomendou tratar todas as redes públicas como hostis durante as viagens. Evite Wi-Fi aberto para interações com carteiras, use um hotspot móvel ou uma VPN confiável e faça transações somente a partir de dispositivos robustos e atualizados com superfície mínima de ataque ao navegador.

Os usuários também devem segmentar os fundos entre carteiras, tratar cada aprovação na rede como um evento de alto risco a ser revisado e revogado regularmente e manter uma forte segurança operacional física, nunca discutindo os acervos ou detalhes da carteira em público.