O ecossistema dos ativos digitais também mudou a forma de atacar.
Numa infraestrutura tradicional, um adversário pode tentar roubar uma palavra-passe, executar malware, escalar privilégios ou movimentar-se pela rede.
Mas, quando surgem criptomoedas, blockchain, carteiras, exchanges, contratos inteligentes e DeFi, surgem também novas possibilidades:
manipular uma transação
explorar a lógica de um contrato
atacar o consenso de uma blockchain
enganar o proprietário de uma carteira
tentar ocultar o percurso de fundos roubados.
Para organizar e estudar esses comportamentos, a MITRE desenvolveu Adversarial Actions in Digital Asset Payment Technologies, uma base de conhecimento especializada em ameaças contra tecnologias de pagamento e ativos digitais.
A ideia do AADAPT é simples:
não se limitar a dizer que roubaram criptomoedas, mas entender como isso aconteceu.
O AADAPT organiza o comportamento adversário por meio de táticas, técnicas e subtécnicas.
A tática responde: o que o atacante está tentando conseguir?
A técnica responde: como ele está tentando conseguir isso?
E, quando observamos as técnicas, entendemos por que era necessário um modelo específico para esse ecossistema.
Um atacante pode buscar as chaves privadas que permitem controlar uma wallet. Pode explorar um smart contract aproveitando erros em seu código ou em sua lógica. Pode tentar manipular informações usadas por protocolos DeFi por meio de ataques contra oráculos, cujas informações podem determinar preços e acionar operações automáticas.
O AADAPT também contempla ataques próprios das tecnologias blockchain, como o Double Spending, em que se tenta gastar o mesmo ativo mais de uma vez, ou a criação de nós Sybil, em que um adversário gera múltiplas identidades ou nós para tentar obter influência sobre uma rede.
Mas nem tudo exige quebrar a criptografia ou encontrar uma vulnerabilidade.
Também existe o ataque contra a pessoa.
Um exemplo é o Address Poisoning: o atacante tenta inserir no histórico da vítima um endereço que controla e que é visualmente parecido com outro legítimo.
A expectativa é que, em uma operação futura, a vítima copie o endereço errado e envie os fundos para lá.
Outro comportamento contemplado é o Zero-Value Transfer Phishing, que aproveita transferências sem valor para gerar registros enganosos no histórico de determinadas wallets.
O AADAPT também permite estudar o que acontece depois que os ativos são obtidos.
Os fundos podem ser divididos e passar por inúmeros endereços, utilizar intermediários ou atravessar diferentes blockchains.
O framework contempla comportamentos como Layering, Peel Chains, Money Mules e Cross-Chain Hopping, relevantes para compreender estratégias destinadas a dificultar o rastreamento do dinheiro.
E há outra diferença especialmente interessante em relação ao ATT&CK tradicional:
O AADAPT incorpora FRAUD ou FRAUDE como uma de suas táticas.
Isso permite representar comportamentos relacionados à obtenção ilícita de valor e a determinadas manipulações do ecossistema, incluindo técnicas ligadas a wash trading, pump and dump, contas fraudulentas e outras formas de manipulação.
Por isso, o AADAPT não substitui o MITRE ATT&CK: ele o complementa.
O ATT&CK continua sendo fundamental para entender como um adversário compromete sistemas, rouba credenciais ou se movimenta por uma infraestrutura.
O AADAPT amplia essa perspectiva para abranger os comportamentos específicos que surgem quando o ativo digital, a blockchain, o smart contract ou a própria transação fazem parte do ataque.
O AADAPT é um mapa do comportamento adversário.
E essa é precisamente a sua utilidade: deixar de dizer que houve um ataque cripto e poder estudar o que o atacante buscava, quais técnicas utilizou, quais controles falharam e onde poderíamos detectá-lo da próxima vez.
Porque no ecossistema cripto é possível atacar a pessoa, a wallet, o smart contract, o protocolo, o consenso, a transação e, por fim, aquilo que todos tentam proteger: o valor!
👉 https://aadapt.mitre.org