【Golpe de recrutamento cripto volta a aparecer em Singapura; perdas de 11,8 milhões de dólares em três meses】
A polícia de Singapura e a Autoridade de Segurança Cibernética divulgaram em conjunto, em 14 de agosto, que um esquema de golpe cripto que combina “recrutamento falso + envenenamento de cadeia de suprimentos” causou cerca de 11,8 milhões de dólares em prejuízos, e a cadeia de ataque merece o alerta de todos os profissionais de Web3.
Desmontagem do golpe:
1. No LinkedIn, se passa por RH de uma empresa cripto, enviando convites por e-mail com domínios muito parecidos com os reais;
2. Agenda entrevistas no Google Meet com câmeras desligadas durante todo o processo, para reduzir suspeitas;
3. Direciona as vítimas a acessar um site falsificado no “equipamento fornecido pela empresa” para realizar um teste de codificação, inserindo silenciosamente malware;
4. Rouba tokens de sessão para burlar o MFA e faz login no repositório de códigos Bitbucket associado;
5. Modifica scripts de implantação automatizada, assume controle remoto de servidores internos e, após obter credenciais de transação, contorna limites e aprovações, transferindo em lote os ativos cripto.
Conselhos rigorosos para indivíduos e equipes:
- Antes de receber uma oferta, verifique obrigatoriamente de forma independente, por canais oficiais, a identidade do RH e o domínio da empresa;
- API Keys, credenciais internas e chaves de CI/CD devem ter o menor privilégio possível + rotação periódica;
- Ative forte MFA, lista de IPs permitidos e validação de assinatura das submissões nos repositórios de código e nas esteiras de implantação;
- Ao detectar qualquer invasão suspeita, isole imediatamente o dispositivo da rede, revogue sessões ativas, redefina as credenciais e realize uma auditoria completa dos logs de acesso.
Esse tipo de ataque une “engenharia social” e “cadeia de suprimentos”; proteção em um único ponto já não basta. Cada etapa de recrutamento, entrevista e disponibilização no setor cripto merece mais uma pergunta: “isso é verdade?”.
#加密货币 #网络安全 #反诈
A polícia de Singapura e a Autoridade de Segurança Cibernética divulgaram em conjunto, em 14 de agosto, que um esquema de golpe cripto que combina “recrutamento falso + envenenamento de cadeia de suprimentos” causou cerca de 11,8 milhões de dólares em prejuízos, e a cadeia de ataque merece o alerta de todos os profissionais de Web3.
Desmontagem do golpe:
1. No LinkedIn, se passa por RH de uma empresa cripto, enviando convites por e-mail com domínios muito parecidos com os reais;
2. Agenda entrevistas no Google Meet com câmeras desligadas durante todo o processo, para reduzir suspeitas;
3. Direciona as vítimas a acessar um site falsificado no “equipamento fornecido pela empresa” para realizar um teste de codificação, inserindo silenciosamente malware;
4. Rouba tokens de sessão para burlar o MFA e faz login no repositório de códigos Bitbucket associado;
5. Modifica scripts de implantação automatizada, assume controle remoto de servidores internos e, após obter credenciais de transação, contorna limites e aprovações, transferindo em lote os ativos cripto.
Conselhos rigorosos para indivíduos e equipes:
- Antes de receber uma oferta, verifique obrigatoriamente de forma independente, por canais oficiais, a identidade do RH e o domínio da empresa;
- API Keys, credenciais internas e chaves de CI/CD devem ter o menor privilégio possível + rotação periódica;
- Ative forte MFA, lista de IPs permitidos e validação de assinatura das submissões nos repositórios de código e nas esteiras de implantação;
- Ao detectar qualquer invasão suspeita, isole imediatamente o dispositivo da rede, revogue sessões ativas, redefina as credenciais e realize uma auditoria completa dos logs de acesso.
Esse tipo de ataque une “engenharia social” e “cadeia de suprimentos”; proteção em um único ponto já não basta. Cada etapa de recrutamento, entrevista e disponibilização no setor cripto merece mais uma pergunta: “isso é verdade?”.
#加密货币 #网络安全 #反诈