慢雾 SlowMist

I. Contexto
Recentemente, a equipe de segurança da SlowMist recebeu um pedido de ajuda de um usuário do Fomo. O usuário relatou que, ao consultar os detalhes do token MOONLET na versão web do Fomo, clicou no link para o site oficial do projeto exibido na página e acessou voltage.family. Em seguida, concluiu a “verificação humana” conforme as instruções e percebeu que cerca de US$ 48 mil em ativos haviam sido transferidos de sua conta. Durante todo o processo, ele não conectou uma carteira, não concedeu nenhuma autorização on-chain nem inseriu a frase-semente ou a chave privada. O usuário acessava o Fomo com uma conta Google e afirmou que não havia ativado a autenticação em duas etapas.
Após receber o relato, a equipe de segurança da SlowMist analisou as páginas e os scripts envolvidos e descobriu que a suposta “verificação humana” induzia os usuários a adicionar e clicar em um favorito malicioso. O favorito continha código JavaScript incorporado, cujo objetivo era ler os dados armazenados no navegador na página do Fomo, extrair o token de login e enviar os dados para um endereço externo.

Em setembro de 2026, a Força-Tarefa de Ação Financeira (FATF) publicou um relatório temático (Risks of Gaming and Gambling) que analisou de forma sistemática os riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação enfrentados por cassinos, apostas esportivas, outras modalidades de apostas e jogos online.
O valor deste relatório não está em considerar todas as atividades de jogos e apostas como inerentemente de alto risco, mas em revelar uma mudança que merece ainda mais atenção por instituições de serviços de ativos virtuais: quando a operação online, a internacionalização, múltiplos produtos e múltiplos métodos de pagamento se sobrepõem, as plataformas de jogos e apostas estão se tornando parte de um ecossistema mais amplo de transferência de valores. Para exchanges, VASPs e instituições de serviços de ativos virtuais que oferecem serviços como pagamentos cripto, os fundos provenientes desse ecossistema não devem ser entendidos apenas como uma “transação de apostas”, mas devem ser examinados dentro de uma relação completa de fundos.

18 de setembro, a Polícia Japonesa, em conjunto com o National Cybersecurity Coordination Center, além do FBI dos EUA, do Cyber Crime Center do Departamento de Defesa dos EUA, da Australian Signals Directorate / Cyber Security Centre, do Serviço Federal de Inteligência da Alemanha e do Gabinete Federal para a Proteção da Constituição, divulgaram um relatório conjunto — em seis partes — com o foco em uma organização de hackers com histórico norte-coreano, o WaterPlum (também conhecido como "Contagious Interview", tradução literal: "entrevista disfarçada").
A campanha de ataque do "Contagious Interview" já vinha sendo monitorada há anos por diversas empresas internacionais de segurança, sendo frequentemente associada ao grupo Lazarus da Coreia do Norte. Desta vez, a polícia japonesa divulgou pela primeira vez, em nome oficial e em conjunto com instituições de vários países, um caso específico no país e as evidências apreendidas.

Contexto
O sample vem de um branch de desenvolvimento do pacote de extensão do Laravel Nova `visanduma/nova-two-factor`, pertencente à campanha PolinRider. Trata-se de um pacote PHP publicado no Packagist; até a data da análise deste artigo, o número total de downloads já ultrapassou 700 mil.
A cadeia de entrega não grava o endereço C2 no sample. O código injetado primeiro consulta o Ethereum: a partir do endereço de recebimento em uma transação, extrai os IPs de dois servidores; em seguida, recupera a carga útil subsequente via HTTP. Para trocar de servidores, o atacante só precisa enviar uma nova transação na cadeia; não é necessário reinocular este pacote.
O destino desta cadeia é um roubador de credenciais multiplataforma que coleta contas e cookies do navegador, dados de carteiras criptográficas, dados de bases de dados de gerenciadores de senhas e credenciais de desenvolvimento.

Recentemente, a equipe de segurança da SlowMist recebeu vários relatos de que os ativos dos usuários foram roubados. Após verificação, descobriu-se que os eventos relevantes envolviam todos vazamento de chaves privadas; em parte dos usuários afetados, eles haviam baixado e utilizado a versão 1.1–1.2 do app do FomoPeek.
Em conjunto com a equipe de segurança da OKX, analisamos e confirmamos que o FomoPeek 1.1 e 1.2 inseriram dois módulos maliciosos, apptrace e libapptracecore, que possuem capacidades de configuração remota, exploração de vulnerabilidades do kernel, evasão de sandbox, descriptografia do Keychain e coleta de dados entre aplicativos.
A validação dinâmica mostra que o aplicativo busca, no Bitbucket, o endereço de C2 criptografado e reporta as informações do dispositivo para api-a95f0ed200f.assisaint[.]com, além de receber configurações remotas. Durante os testes, o exploit_enabled retornado pelo C2 foi false. Para validar a etapa de execução subsequente, em um ambiente isolado ajustamos, via Hook, os respectivos switches após a descriptografia do cliente para true; em seguida, obtivemos a lista de coleta direcionada a 19 carteiras e ao aplicativo de notas e capturamos a requisição completa pela qual o contêiner de Notas da Apple foi compactado e enviado.

Autor: Johan & Lisa
Editor: 77
Em 6 de setembro, às 13:52:10 UTC, duas transações com a mesma estrutura apareceram no bloco de número 4.050.335 do Liquid. Um minuto depois, o bloco 4.050.336 confirmou a terceira transação: cerca de 3.998,5 L-BTC entraram no conjunto UTXO, sem que nenhuma operação peg-in estivesse por trás. Alguns minutos depois, esses ativos que não existiam começaram a ser agrupados e consumidos; em seguida, foram trocados por BTC verdadeiro na rede principal por meio do canal de peg-out federado.
No dia seguinte, 3.400 BTC foram devolvidos à carteira de peg federada. Os 598,5 BTC restantes ficaram com o atacante e, até o momento da publicação, continuam sendo transferidos repetidamente de forma “auto” (self-transfer), com cada transação acompanhada por um trecho de texto em claro OP_RETURN, exigindo da federação uma “recompensa” de 10%. As negociações ainda estão sendo conduzidas publicamente na cadeia.

Em 9 de setembro, o Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA e o Departamento de Justiça (DOJ) anunciaram uma ação coordenada de aplicação da lei contra a Garantia Xinbi. O OFAC incluiu a Garantia Xinbi e duas empresas que a apoiavam em sua operação na lista de sanções, enquanto o DOJ, na força-tarefa de ataque a centros de fraude (Scam Center Strike Force), apreendeu a infraestrutura das plataformas relacionadas e carteiras de ativos criptográficos. De acordo com o comunicado do DOJ, esta ação coordenada restringiu um total de mais de US$ 52 milhões em ativos criptográficos relacionados à Garantia Xinbi e à sua rede de comerciantes.
Esta ação não se volta contra um único grupo criminoso de fraude, mas sim contra uma rede de serviços que sustenta o funcionamento das atividades fraudulentas. As autoridades de aplicação da lei dos EUA afirmam que a garantia em moeda nova conecta os grupos de fraude a comerciantes que fornecem serviços como lavagem de dinheiro e desenvolvimento de sites de fraude, e que, por meio de custódia de fundos e garantias de transações, cria condições para que essas transações ilegais continuem operando de forma contínua.

Autor: 99
Editado por: 77
背景
Em 4 de setembro de 2026, a renomada plataforma descentralizada de empréstimos Notional Finance foi atacada, resultando em uma perda de cerca de 1,73 milhão de dólares. A seguir está a análise específica da equipe de segurança da SlowMist sobre este incidente:
Conhecimentos preliminares
No Notional Finance V1, o fCash pode ser entendido como um crédito em dinheiro com data de vencimento. O cash receiver recebe o pagamento no vencimento, enquanto o cash payer realiza o pagamento no vencimento. O protocolo registra essas duas posições no Portfolio e, em seguida, determina por meio da verificação de colateral livre se a conta está em condições saudáveis para abrir uma posição.

Contexto
Uma página de campanha que oferece VPS gratuito, na verdade, é um isco. A página recuperada de um arquivo público da web mostra que event[.]polarnode[.]vip, registrado no fim de agosto de 2026, declarou https[:]//lk[.]wyincc[.]com/lk.js como script de pré-carregamento; após a página se tornar interativa, ele é carregado automaticamente, sem necessidade de clique do visitante.
Depois de decodificar a amostra loader salva, confirmamos que ela é direcionada a iPhones executando iOS 18.4–18.6.2, entregue via Safari puro, e tem como objetivo final a coleta de arquivos, do Keychain e da digitação no teclado, visando três aplicativos de carteira. Essa cadeia é altamente consistente com a cadeia de exploração DarkSword para iOS divulgada pelo Google Threat Intelligence Group (GTIG), correspondendo a seis CVEs e configurando reutilização de n-day.

Recentemente, o CEO da OKX respondeu a uma postagem de um usuário sobre “uma plataforma de apostas transferir diretamente fundos para a exchange, fazendo com que o carregamento dispare uma verificação”. De acordo com suas declarações públicas, ao recarregar a partir de endereços de alto risco para a OKX, pode ser acionada uma verificação mais rigorosa de combate à lavagem de dinheiro (AML) e de risco; dependendo do caso, a análise pode durar 15 dias ou até mais. Durante esse período, algumas funcionalidades da conta e os fundos podem ser limitados; para contas que a plataforma confirme estarem envolvidas em atividades de alto risco ou ilegais, a plataforma também poderá encerrar o serviço.
https://x.com/star_okx/status/2094980124236251207
A OKX também alerta que os fundos obtidos por canais como transações com garantia por meio de grupos no Telegram, bem como a “Huiwang” e suas variações, podem implicar um risco mais alto quanto à origem dos fundos.

Com o contínuo desenvolvimento de ativos cripto, pagamentos com stablecoins e negócios de finanças digitais, a análise de riscos de fundos, bem como o AML e o KYT on-chain, estão se tornando uma necessidade prática para cada vez mais instituições.
Para isso, a MistTrack & SlowMist KYT lança oficialmente o Programa de Parcerias para Parceiros, recrutando globalmente parceiros individuais e institucionais com recursos em Web3, finanças, pagamentos, conformidade, segurança e mercados locais.
Ao participar do programa, você poderá obter:
Um código de desconto exclusivo para clientes, ajudando seus clientes a assinarem por um preço mais vantajoso;
Atribuição automática de pedidos e registros de remuneração recorrente, com validade da remuneração por até 3 anos;

Em 28 de agosto, na Cypher Asia Intelligent Crypto Finance Summit, o fundador da SlowMist, Yu Xian, fez uma palestra intitulada (Rinocerontes-cinzentos e cisnes-negros no mundo cripto). Ele partiu de problemas de segurança comuns no setor cripto, organizou sistematicamente os principais riscos — como fundos roubados, enganados, perdidos e congelados — e compartilhou suas reflexões sobre proteção de segurança.
O seguinte é um resumo do conteúdo compartilhado no local.
No mundo cripto, não é incomum que fundos sejam roubados, enganados, perdidos ou congelados. Muitos incidentes de segurança, à primeira vista, parecem um imprevisto repentino, mas quando olhamos para trás, vemos que muitos riscos já apresentavam sinais. A questão talvez não seja “não saber completamente que existe risco”, mas sim que o risco já havia surgido, porém não recebeu atenção suficiente, ou que as medidas de segurança existentes não estejam realmente funcionando.

28 de agosto, a SlowMist, em parceria com a ME Group, realizou o evento setorial «Atravessar a névoa e avançar rumo a pagamentos confiáveis | Nova fronteira da conformidade de stablecoins e dos pagamentos por agentes inteligentes», além de participar de vários encontros setoriais, como «Cypher Asia - Summit de Finanças Cripto Inteligentes» e «AI x BTC - BTC Asia Side Event». Em torno de temas como a conformidade de stablecoins e aplicações de pagamento, segurança cripto e infraestruturas de economia digital, a equipe compartilhou com parceiros da indústria experiências práticas e perspectivas de segurança.
Agora, vamos juntos revisitar os destaques do dia —
Foco na conformidade de stablecoins e nos pagamentos por agentes inteligentes, discutindo a construção de pagamentos confiáveis

Contexto
Baixe um grande modelo de código aberto; o que normalmente preocupa você é se ele consegue rodar corretamente e se os pesos são reais. Desta vez, porém, o que realmente deveria preocupar está em outro lugar: um repositório rotulado como tendo 27B de parâmetros, mas quando chega às suas mãos, há apenas 487 KB — não há pesos lá, e sim um cavalo de Troia de exfiltração de dados.
Em 20 de agosto de 2026, o repositório GitHub unburdened-jackinthebox365/qwen38-uncensored enviou para o diretório assets/ um arquivo chamado uncensored_qwen_v2.6.zip, com 487.153 bytes. O repositório o empacotou de um jeito quase inatacável: a página inicial afirma fornecer pesos locais de quantização do Qwen 3.8 27B; o README enfatiza execução totalmente offline, sem telemetria e com dados que não saem do seu computador. Cada frase acerta em cheio o que usuários de modelos locais querem ouvir. Quatro dias depois, em 24 de agosto, o README foi alterado novamente — o botão de download, o link de download no corpo do texto e, junto com isso, dois links externos que antes apontavam para os sites do Ollama e do LM Studio, passaram a apontar para o mesmo endereço raw de um ZIP.

Em 28 de agosto, o SlowMist, em parceria com a ME Group, realizará em Hong Kong o evento de intercâmbio do setor «Atravessando a névoa rumo aos pagamentos confiáveis | Novas fronteiras globais de conformidade com stablecoins e pagamentos por agentes inteligentes».
Nesta atividade, reuniremos convidados do setor de áreas como stablecoins, pagamentos, AI Agent, conformidade e segurança de blockchain. O encontro se concentrará na conformidade global com stablecoins, no desenvolvimento de pagamentos por agentes inteligentes e na construção de um sistema de pagamentos confiável, explorando em conjunto os desafios técnicos, de segurança e de conformidade ao longo da evolução dos modelos de pagamento.
Horário: 28 de agosto, 09:30 – 12:30
Local: Hong Kong, CAI Building

Autor: Nove Nove
Edição: 77
Contexto
Em 19 de agosto de 2026, um projeto de ponte cross-chain conhecido, a Allbridge, foi atacado, com perdas de aproximadamente 190 mil dólares. No entanto, este ataque levou quase um mês para ser concluído. A seguir, apresentamos uma análise detalhada do evento por meio da equipe de segurança SlowMist:
Conhecimentos prévios
Para entender este ataque, precisamos primeiro compreender o protocolo CCTP da Circle e seu sistema de transmissão de mensagens cross-chain.
CCTP é o protocolo de transferência cross-chain da Circle. Sua ideia básica é: na cadeia de origem, destruir USDC; na cadeia de destino, cunhar novamente uma quantidade equivalente de USDC. Isso evita que contratos de ponte aumentem o saldo “do nada”.

No dia 28 de agosto, Hong Kong receberá vários eventos da indústria com foco em stablecoins, pagamentos com agentes inteligentes, AI Agent e infraestrutura de Bitcoin. Como empresa focada na segurança do ecossistema blockchain, a SlowMist realizará e participará de vários eventos em Hong Kong. Com base em suas pesquisas e práticas de segurança, ela se reunirá com parceiros do setor para trocar experiências e discutir temas relacionados.
Atravessando a névoa rumo a pagamentos confiáveis｜Novas tendências na conformidade global de stablecoins e em pagamentos com agentes inteligentes
Horário: 28 de agosto, 09:30–12:30
Local: CAI Building, Hong Kong
Inscrição: https://luma.com/0c4fawzv
28 de agosto, de manhã, a SlowMist se unirá ao ME Group para realizar em Hong Kong o evento de networking da indústria «Atravessando a névoa rumo a pagamentos confiáveis｜Novas tendências na conformidade global de stablecoins e em pagamentos com agentes inteligentes». Na ocasião, parceiros do ecossistema de stablecoins, pagamentos, AI Agent, conformidade e segurança se reunirão em Hong Kong para discutir a conformidade e as aplicações de stablecoins globais, a evolução tecnológica dos pagamentos com agentes inteligentes e a construção de segurança do sistema de pagamentos confiáveis.

Contexto
Solidity Pro é uma extensão do VS Code voltada para desenvolvedores Solidity/Web3, posicionada publicamente como uma ferramenta de apoio ao desenvolvimento, oferecendo recursos como consulta de Gas, preços de tokens, snippets de código e sugestões de compilação. Seu repositório no GitHub também já promoveu capacidades de segurança como AI Audit e Security Scanner.
Em eventos públicos, o Solidity Pro utilizou, em sequência, dois publishers (identidades de publicação): helper-beeps e web3devtoolsx. Os respectivos Extension ID (identificadores únicos das extensões) foram helper-beeps.solidity-pro e web3devtoolsx.solidity-pro. Embora a identidade de publicação tenha mudado, os artefatos de build subsequentes ainda mantiveram o antigo publisher, o endereço do repositório e as informações de direitos autorais, indicando que existe uma relação direta de herança de engenharia entre ambos.

Recentemente, o MistTrack Agent, desenvolvido pela SlowMist, foi oficialmente incorporado como um Agent de terceiros no AgentOn. O MistTrack Agent se concentra em AML de criptomoedas e investigações on-chain, trazendo para a plataforma do AgentOn capacidades como rastreamento de fundos on-chain e análise de risco, para oferecer aos usuários uma forma de investigação on-chain mais eficiente e automatizada.
Bem-vindo(a) à experiência do MistTrack Agent:
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Experiência por tempo limitado: cada usuário pode aproveitar 10 chamadas gratuitas, com validade de 30 dias. Após o uso das chamadas gratuitas ou o término do período de validade, haverá cobrança de acordo com os padrões do AgentOn.

O desenvolvimento contínuo de ativos digitais e da tecnologia de IA está impulsionando os pagamentos para uma nova fase de aplicação. Por um lado, as stablecoins estão acelerando sua saída do ambiente on-chain, aprofundando-se em processos reais de negócios, como pagamentos, liquidação e gestão de fundos; por outro, o agente de IA (AI Agent) também está avançando gradualmente de uma simples ferramenta de apoio para um participante dos pagamentos capaz de representar usuários e empresas para realizar consultas, tomar decisões, acionar serviços e até mesmo iniciar transações.
Quando as stablecoins começam a se direcionar para cenários reais de pagamento, como a conformidade pode ser de fato implementada; quando o AI Agent começa a participar de transações, como estabelecer mecanismos de transação seguros e confiáveis — esse também se tornou um novo problema que o setor precisa enfrentar.