A Rapid7 divulgou detalhes de uma grande operação de phishing de criptomoedas, apelidada de “Operation Asterix”, projetada para atingir pessoas por meio de iscas via telefone e e-mail que, em última análise, visam extrair frases-semente de cripto. A campanha teria alcançado conjuntos de dados que abrangem aproximadamente 885.000 números de telefone em várias regiões, com o maior lote ligado à Alemanha.
Na investigação da Rapid7, o fluxo de phishing incluía o direcionamento de usuários conectados à exchange Binance, gerando 5.576 contas correspondentes a usuários da exchange que foram colocadas em fila para o ataque. A empresa também encontrou evidências de comunicações falsas se passando pela Crypto.com, destacando como a operação combinou táticas de vishing com mensagens com a marca da exchange.
Principais conclusões
A Rapid7 rastreou a Operação Asterix até um conjunto de dados com cerca de 885.000 números de telefone, com a Alemanha como a maior fonte (316.002 números).
A campanha identificou 43.066 contas vinculadas a usuários de uma exchange de cripto e gerou 5.576 alvos correspondentes à Binance para ataques de acompanhamento.
Os atacantes usaram aplicativos falsos de Ledger, Trezor e Exodus para pressionar as vítimas a revelar frases-semente.
Os artefatos da Rapid7 sugerem ferramentas automatizadas, incluindo lógica de “checagem” para validação de contas da Kraken, além de componentes assistidos por IA.
Operação Asterix: escala, filtragem e “taxa de acerto”
O relatório da Rapid7 descreve a Operação Asterix como uma campanha construída em torno de “direcionamento”, e não de spam indiscriminado. Segundo a empresa, os atacantes correlacionaram 43.066 contas a usuários de criptomoedas usando dados validados em relação ao conjunto de dados alemão mais amplo, que continha mais de 316.000 números de celular. A Rapid7 estima que isso se traduza em uma “taxa de acerto” aproximada de 13,6% para o processo de correspondência validada.
A empresa também aponta artefatos recuperados indicando uma função de checagem separada, voltada a validar em lote números de telefone com contas associadas à Kraken. Isso importa porque sugere que a operação não se limitou a uma única exchange ou região; em vez disso, usou etapas de verificação para determinar quais números de telefone provavelmente correspondiam a usuários de cripto.
Como as vítimas foram atraídas: personificação e extração de frase-semente
No centro das descobertas da Rapid7 está a fase de engenharia social da campanha. As analistas Anna Sirokova e Jan Recinsky escrevem que os atacantes tentaram levar as vítimas a aplicativos falsos que personificavam marcas populares de autocustódia, incluindo Ledger, Trezor e Exodus.
A Rapid7 diz que as vítimas foram levadas a essas páginas de personificação com o objetivo de obter frases-semente — um resultado que pode comprometer permanentemente os fundos caso os usuários as insiram em fluxos controlados pelo atacante. A operação de phishing também usou canais de contato diretos: os atacantes entraram em contato por meio de e-mails de suporte falsos e consultas por telefone, projetadas para parecer legítimas.
Os achados da Rapid7 também destacam a cadeia operacional — como o contato foi estabelecido, quais alvos foram selecionados e como a campanha avançou em direção à exfiltração de dados. Embora o relatório se concentre no comportamento observado em artefatos recuperados pela equipe de segurança, a implicação prática para os usuários é direta: mesmo quando a mensagem parece vir de uma marca ou canal de suporte, o risco é maior quando a interação tenta direcionar as vítimas para inserir informações de recuperação.
Binance e Crypto.com estavam entre as exchanges personificadas
Um dos elementos mais relevantes na divulgação da Rapid7 é como a campanha reduziu o foco para usuários reais de exchange. O relatório afirma que identificou 5.576 contas correspondentes a usuários na Binance que estavam na fila para serem atacados. A Rapid7 também relata que os logs recuperados incluíam e-mails falsos personificando a Crypto.com.
Para traders e detentores de longo prazo, essa combinação de direcionamento ligado à exchange com personificação de marca destaca um problema comum: atacantes frequentemente buscam comprometer a confiança em identidades de serviços familiares. Em vez de depender apenas de phishing genérico, a Operação Asterix parece ter usado etapas de verificação e referências à exchange para aumentar a chance de a vítima responder.
O relato da Rapid7 sobre a composição dos alvos também indica que a infraestrutura da campanha incluía listas além da Alemanha. O maior arquivo continha 316.002 números de celular alemães, enquanto diretórios adicionais, segundo relatos, cobriam números de telefone associados a regiões incluindo Hong Kong, Bulgária e o Reino Unido, além de listas relacionadas a fintechs dos EUA e do Canadá e listas relacionadas à Ledger.
Contexto mais amplo de segurança cripto: uma ameaça persistente na camada humana
A Operação Asterix se encaixa em um padrão mais amplo de fraudes em cripto que repetidamente exploram os usuários, em vez de romper protocolos subjacentes. O artigo observa que, de acordo com a empresa de segurança blockchain Hacken, phishing e engenharia social impulsionaram a maior parte das perdas do setor de cripto no primeiro trimestre, respondendo por US$ 306 milhões de um total reportado de US$ 482 milhões perdidos.
Isso é compatível com incidentes anteriores citados no mesmo material. Por exemplo, aponta para uma violação de dados pessoais relacionada à Trezor envolvendo seu provedor de envio ShipMonk, reportada em agosto; um caso separado relacionado ao Ethereum em julho, em que um investidor em cripto perdeu quase US$ 1 milhão após aprovar uma transação maliciosa de autorização de phishing; e um episódio anterior em novembro de 2023, em que um aplicativo falso do Ledger Live colocado na Microsoft Store levou a roubos que somaram $588.000 em 38 transações.
Juntas, essas situações reforçam que usuários de cripto enfrentam duas categorias de risco diferentes — mas sobrepostas: comprometimento técnico via malware e perda direta por fluxos de engenharia social que levam os usuários a conceder acesso ou revelar material de recuperação.
O que observar a seguir
Conforme mostra a divulgação da Rapid7, campanhas como a Operação Asterix cada vez mais combinam conjuntos de dados, validação de exchange e personificação de marcas populares de autocustódia — o que significa que a questão mais urgente para os usuários não é apenas se existe phishing, mas se os atacantes conseguem melhorar a precisão do direcionamento. Os investidores devem acompanhar relatórios de acompanhamento das equipes de segurança sobre a ferramenta específica e quaisquer indicadores de comprometimento ligados às iscas falsas da Ledger, Trezor e Exodus, enquanto continuam a tratar mensagens de suporte não solicitadas e solicitações de “recuperação de carteira” como de alto risco até serem verificadas de forma independente.
Este artigo foi publicado originalmente como “Cybersecurity Firm Maps Crypto Phishing Campaign to 885,000 Numbers” (Empresa de cibersegurança mapeia campanha de phishing cripto para 885.000 números) em Crypto Breaking News — sua fonte confiável de notícias sobre cripto, notícias do Bitcoin e atualizações de blockchain.