Os incidentes de cibersegurança relatados nesta semana variaram de roubos de criptomoedas em grande escala e infraestrutura clandestina a phishing, ataques à cadeia de suprimentos de software e spyware direcionado a usuários de dispositivos móveis. Vários casos começaram com ferramentas ou serviços aparentemente rotineiros, incluindo links compartilhados, extensões de navegador, softwares de suporte remoto e plataformas de terceiros.
O FBI atribuiu o roubo de mais de US$ 6 bilhões em ativos virtuais da Binance ao grupo norte-coreano de hackers TraderTraitor. O montante relatado chegou a US$ 6,43 bilhões distribuídos em 11 blockchains, com 82% dos ativos localizados na Ethereum e no Bitcoin. Tether, Circle, Ripple, Arbitrum e Optimism congelaram US$ 2,85 bilhões dos fundos roubados on-chain, de acordo com o relatório.
O grupo patrocinado pelo Estado chinês Volt Typhoon também foi associado ao Silent Train, uma infraestrutura de retransmissão formada por cadeias que mudam rapidamente e compostas por dispositivos SOHO, IoT e empresariais comprometidos. A rede foi projetada para ocultar a origem dos ataques, apoiar operações selecionadas e ser desmantelada após o uso. A atividade relatada aponta para esforços destinados a manter o acesso a comunicações, infraestrutura crítica, defesa, logística e outros sistemas que poderiam se tornar importantes durante tensões geopolíticas.
A plataforma de mercados de previsão Polymarket suspendeu temporariamente as negociações depois que invasores comprometeram o DebugBear, um serviço de terceiros. JavaScript malicioso distribuído por meio do serviço drenou aproximadamente US$ 2,7 milhões de 33 carteiras de depósito em menos de uma hora. A DebugBear informou que os registros de seu registrador de domínio haviam sido comprometidos e que não havia encontrado evidências de uma invasão em seus sistemas internos no momento de sua atualização.
Pesquisadores da Parameter Labs divulgaram uma falha corrigida do ChatGPT envolvendo links de conversas compartilhadas. Um invasor poderia criar uma conversa maliciosa e enviar seu link de compartilhamento a outro usuário, fazendo com que JavaScript fosse executado dentro da sessão autenticada do ChatGPT da vítima. A exploração bem-sucedida poderia expor listas de conversas e o conteúdo de conversas privadas, além de transmitir dados para um servidor externo.
A Cursor informou que duas versões da extensão oficial do Claude Code em seu marketplace haviam sido modificadas para instalar um backdoor SSH persistente. O incidente pode ter afetado até 5.000 usuários. A Cursor afirmou que rotacionou suas chaves, reconstruiu o marketplace e colocou o servidor relevante offline, declarando ainda que nenhuma outra extensão havia sido modificada de forma maliciosa. Permanecem dúvidas sobre como a extensão alterada foi publicada em nome da Anthropic e que tipo de acesso o invasor obteve.
O Departamento de Justiça dos Estados Unidos anunciou a apreensão de um domínio associado à Virtualine, um provedor de hospedagem à prova de abusos. As autoridades afirmaram que o serviço facilitava atividades criminosas, incluindo a distribuição de imagens sexualmente explícitas de menores, imagens íntimas não consensuais e lavagem internacional de dinheiro. O relatório também observou que interrupções anteriores na infraestrutura podem fragmentar o mercado ao empurrar clientes para serviços mais novos.
A fabricante de carteiras de hardware Keystone divulgou um incidente de segurança envolvendo seu site e uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros. O invasor obteve informações de clientes e uma chave usada para verificar a autenticidade dos dispositivos. As informações expostas incluíam registros com nomes, dados de contato, endereços de entrega e informações de pedidos, além de registros de checkout. A Keystone afirmou que destruiria 18.835 dispositivos em estoque que continham a chave antiga e suspenderia temporariamente os envios de seu site oficial enquanto migrava para um modelo de pré-venda.
A Trezor alertou separadamente sobre relatos considerados críveis de um suposto implante para roubo de criptomoedas em hardware, encontrado em um dispositivo Safe 5 vendido pela revendedora CryptoBilis no Sudeste Asiático. Os clientes que compraram uma Trezor dessa revendedora a partir de março de 2026 foram aconselhados a transferir os fundos para uma carteira recém-criada com uma nova seed.
Pesquisadores identificaram o uCreator, uma oferta comercial de spyware para Android voltada a usuários de carteiras móveis e serviços de mensagens na China e no Sudeste Asiático. O malware tem como alvo aplicativos como GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber e MoMo, e pode, segundo relatos, clonar contas do WeChat. As vítimas recebem aplicativos legítimos reempacotados por meio de sideloading ou campanhas de engenharia social. O spyware usa virtualização no dispositivo para instrumentar aplicativos direcionados e viabilizar fraudes.
Uma campanha chamada Gheist tem usado tokens roubados do GitHub para inserir um workflow chamado “sync-check” em repositórios acessíveis. O workflow imprime os segredos do repositório em seu próprio log, baixa esse log por meio da API do GitHub e exclui a execução pouco depois. A Wiz informou ter recuperado mais de 13.500 branches inseridas, vinculadas a mais de 850 contas comprometidas. A campanha foi detectada pela primeira vez em meados de setembro de 2026.
A semana também trouxe um amplo conjunto de divulgações de vulnerabilidades que afetam produtos e projetos como Wasmtime, Fireblocks mpc-lib, COVESA vsomeip, softwares da ASUS, Drupal, EPICS Base, TianoCore EDK II, GoAhead, Apache Camel, Okta, Apache Kafka, Google Chrome, Mozilla Firefox, o kernel do Linux, Veeam, Juniper Networks Session Smart Router, TeamViewer, câmeras IP da Intelbras, WatchGuard Fireware OS, Apache Tomcat, Canonical LXD, Langflow OSS e TightVNC. A lista incluía uma vulnerabilidade de execução remota de código pré-autenticada no TightVNC e várias vulnerabilidades que afetam softwares amplamente utilizados.
Pesquisadores de segurança também relataram a campanha Searchjacked, envolvendo 319 extensões do Chrome com um total combinado de 13,4 milhões de instalações declaradas. As extensões sequestravam pesquisas por meio de servidores de rastreamento, capturavam consultas e geravam pagamentos por indicação do Bing e do Yahoo. Outras extensões de navegador maliciosas se passavam por carteiras de criptomoedas ou aplicativos de documentos, com atividades envolvendo o roubo de frases de recuperação, chaves privadas e dados de navegação.
A Microsoft detalhou duas intrusões operadas por humanos nas quais os invasores usaram mensagens e chamadas do Teams para se passar por funcionários de TI ou do suporte técnico. Os operadores convenceram os usuários a conceder acesso remoto, principalmente por meio do Quick Assist, e então implantaram runtimes portáteis, realizaram reconhecimento do sistema e da rede e examinaram o Active Directory Certificate Services em busca de caminhos para a autenticação baseada em certificados. A Microsoft alertou que uma sessão remota aprovada pelo usuário pode levar ao acesso a identidades privilegiadas e à infraestrutura do domínio.
Outros acontecimentos incluíram o uso crescente de vulnerabilidades para entrar em redes corporativas, o abuso de navegadores antidetecção como Kameleo, AdsPower e MultiLogin para gerenciar grandes quantidades de contas, e ciberataques contra sistemas de alerta de emergência na Ucrânia e na Rússia. A Ucrânia relatou falsos alertas nacionais de ataques aéreos, enquanto a Rússia afirmou que seu aplicativo de alertas também havia sido atacado, descrevendo-o como um serviço auxiliar. A relação entre os dois incidentes não foi estabelecida.
Fontes: The Hacker News.