CrowdStrike e autoridades dos EUA desmantelam botnet russo usado para roubar criptomoedas.

Traders Union
Todas as Notícias
Criptomoedas
Desmantelar botnet russo

Todas as notícias

Principais Notícias

Escolhas dos editores

Ações

Criptomoedas

Economia

Moedas

Commodities

Negócios e Riqueza

Vozes do Mercado

Hlib Chabaniuk

02.09.2026

CrowdStrike e autoridades dos EUA desmantelam botnet russo usado para roubar criptomoedas. — Botnet russo que roubava criptomoedas é desmantelado após 8 anos.

A CrowdStrike, em colaboração com as autoridades policiais dos EUA, desmantelou o botnet Sality, ligado à Rússia, que vinha sendo utilizado para roubar criptomoedas nos últimos oito anos. O malware monitorava endereços de carteiras de Bitcoin e Ethereum copiados e os substituía silenciosamente por endereços controlados pelos atacantes.

Este artigo foi traduzido do original. Leia a versão original do nosso correspondente aqui.

De acordo com um comunicado de imprensa, o Sality existe desde 2003, mas seus operadores posteriormente adicionaram um componente projetado para interceptar transferências de criptomoedas. A CrowdStrike nomeou essa parte do malware de EggJagger.

O ataque explorava a prática comum entre usuários de cripto de copiar longos endereços de carteira em vez de digitá-los manualmente. Uma vez infectado o computador, o malware monitorava continuamente a área de transferência em busca de sequências semelhantes a endereços de carteiras de criptomoedas.

Malware roubava criptomoedas pela área de transferência

Quando um usuário copiava um endereço para enviar Bitcoin ou Ethereum, o EggJagger o substituía por um endereço controlado pelo atacante. Se a vítima não conferisse o endereço após colá-lo e confirmasse a transação, a criptomoeda era enviada ao atacante, sem possibilidade de reversão da transferência.

Segundo a CrowdStrike, os operadores do esquema receberam pelo menos 12,1 milhões de rublos, ou cerca de US$ 150.000 na época das transferências, ao longo de oito anos. Grande parte das criptomoedas roubadas permaneceu intocada, e seu valor subiu para aproximadamente US$ 1,35 milhão no início de 2025, acompanhando a valorização do mercado cripto.

O valor é relativamente pequeno para uma operação cibernética que durou vários anos, mas o esquema não exigia um ataque sofisticado a uma blockchain ou à própria carteira de criptomoedas. Um computador infectado e a falta de verificação do endereço do destinatário por parte do usuário eram suficientes para roubar os fundos.

Recomenda-se aos usuários que verifiquem pelo menos os primeiros e últimos caracteres de um endereço de carteira após colá-lo, antes de confirmar cada transação. Isso pode revelar a substituição do endereço antes que uma transferência irreversível de criptomoedas seja aprovada.

Mais de 15.000 computadores infectados foram isolados

O Sality não podia ser desmantelado simplesmente desligando um servidor central de comando e controle.

O botnet utilizava uma arquitetura peer-to-peer, com computadores infectados se comunicando diretamente e verificando aproximadamente a cada 40 minutos se os peers conhecidos ainda estavam disponíveis.

O Sality também não possuía autenticação adicional para os nós que se conectavam à rede. A CrowdStrike explorou essa vulnerabilidade substituindo os endereços dos peers legítimos do botnet por endereços controlados por seus servidores, isolando mais de 15.000 dispositivos infectados da rede.

A operação foi realizada durante uma demonstração na conferência Day Zero da CrowdStrike em Las Vegas, com a participação de autoridades federais. O Departamento de Justiça dos EUA afirmou que os operadores do Sality tinham ligação com a Rússia.

O incidente ocorre em meio a uma série de grandes ataques à infraestrutura de criptomoedas. Anteriormente, a blockchain Cronos, fortemente associada à Crypto.com, foi completamente paralisada após um exploit no Tectonic, o maior protocolo de empréstimos do seu ecossistema, com prejuízos preliminares estimados em cerca de US$ 75 milhões.

A Cronos opera desde 2021 e é utilizada para proporcionar transações de menor custo nos produtos da Crypto.com, enquanto o CRO permanece como um dos principais ativos do ecossistema. O ataque ao Tectonic destacou outra fonte de risco para detentores de ativos digitais — vulnerabilidades na própria infraestrutura dos protocolos DeFi.

Anteriormente, relatamos que carteiras ligadas ao Lazarus Group da Coreia do Norte movimentaram cerca de US$ 30 milhões em ativos digitais através da Hyperliquid. As transferências foram identificadas por analistas da plataforma de inteligência blockchain Arkham.

Este material pode conter opiniões de terceiros, nenhum dos dados e informações nesta página constitui aconselhamento de investimento de acordo com o nosso Aviso Legal. Embora sigamos rigorosos Padrões Editoriais, este post pode conter referências a produtos de nossos parceiros.

Gostou do artigo?