Por dentro do esquema: como os golpistas de criptomoedas
Sequestrar o Bing e o DuckDuckGo

Os dois vetores de ataque

Nossa investigação revelou que duas operações paralelas e completamente diferentes em andamento simultaneamente para levar sites de phishing ao topo dos resultados do Bing e do DuckDuckGo.

Vetor A: O ataque de injeção na SERP do Yahoo

Pode-se dizer que este é o o mais elegante do ponto de vista técnico ataque de SEO black-hat que documentamos em 2026. Ele explora uma falha fundamental na forma como o Bing avalia a autoridade dos links — mais especificamente, sua incapacidade de distinguir entre links editoriais genuínos e páginas de resultados de busca geradas dinamicamente a partir de domínios confiáveis.

O Authority Score herdado do Yahoo (AS 24) é transmitido pelas páginas de busca em dispositivos móveis para domínios de phishing — o Bing aceita esse sinal como legítimo

O mecanismo — passo a passo

Etapa 1 — Geração da URL da operadora confiável. Os invasores criam URLs nos pontos de acesso da pesquisa móvel do Yahoo em vários subdomínios internacionais: no.search.yahoo.com (Noruega), fr.search.yahoo.com (França), mx.search.yahoo.com (México), pl.search.yahoo.com (Polônia), gr.search.yahoo.com (Grécia), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (suíço-francês), co.search.yahoo.com (Colômbia). Essas páginas apresentam o Índice de Autoridade herdado do Yahoo: 23–24.

Etapa 2 — Inserção do link de phishing. Cada URL contém uma consulta de busca totalmente aleatória e inofensiva — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” —, mas o texto de âncora diz: curvefi.co Curve Finance. As consultas aleatórias garantem que os filtros de spam não identifiquem nenhum padrão.

Etapa 3 — Rastreamento e indexação forçados. Os invasores fazem com que o Bingbot rastreie essas URLs por meio de serviços de ping em massa, injeções de comentários em fóruns e blogs e ferramentas automatizadas de acionamento de rastreamento.

Dados brutos da SEMrush — curvefi.co

A ironia brutal: O site tem zero palavras-chave orgânicas, zero tráfego no banco de dados da SEMrush — mas aparece nos resultados do Bing/DDG para “Curve Finance” devido à autoridade emprestada pelo Yahoo.

Vetor B: A rede PBN coordenada

É aqui que a investigação se torna realmente alarmante. Cinco sites de phishing distintos — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at e keplr.me — todos têm em comum um conjunto idêntico de fontes de backlinks. Isso não é coincidência. Isso é uma única operação criminosa organizada realizar várias campanhas de phishing a partir de uma única infraestrutura.

Um operador, 9 doadores de PBN, 5 alvos de phishing — a probabilidade de isso ser uma coincidência é de aproximadamente 0,00001%

A Prova Irrefutável — Infraestrutura Compartilhada

Perfis de domínios de phishing

A fábrica de artigos alimentada por IA

A variante aster-dex.at utiliza um abordagem híbrida, combinando a técnica de injeção do Yahoo com conteúdo de blog gerado por IA, publicado em sites comprometidos ou criados especificamente para esse fim no Vietnã, na Itália, na Indonésia e na Suíça.

Artigos gerados por IA em sites invadidos — títulos idênticos, domínios diferentes, todos com links para o mesmo alvo de phishing

Todos os artigos do blog têm títulos quase idênticos: “Por que as trocas de tokens e os pools de liquidez ainda confundem até mesmo os traders mais experientes de DEX”, “Por que os formadores de mercado automatizados ainda surpreendem os operadores”. São eles: Artigos gerados por IA colocados em sites com AS 21–36, todos com links para aster-dex.at.

Infiltração de spam nos comentários

O keplr.me adota uma abordagem totalmente diferente — puro spam de comentários em sites de alta autoridade que não têm relação alguma com o assunto. Nomes de usuário falsos como “ZackaryThymn”, “Fritzkah” e “Jamesboach” inserem links para carteiras de criptomoedas em sites de ensino de filosofia (filozofija.edu.rs, AS 45), plataformas de engajamento dos funcionários (bavave.com, AS 63) e festivais de arte (lea-festival.com, AS 50).

Sites legítimos que, sem saber, hospedam links de phishing — ocultos entre comentários de usuários que parecem normais

O Pior de Todos: Spam de Ferramentas Automatizadas

bscscan.cfd usa o método mais rudimentar possível: pacotes pagos de backlinks em massa provenientes de sites cujos nomes são, literalmente, rankongoogle.agency e linksjump.click. Todas as fontes têm AS = 0. O TLD .cfd é um indicador conhecido de spam. No entanto, no Bing, mesmo isso funciona parcialmente — o volume de links de baixa qualidade pode influenciar as classificações em domínios totalmente novos, sem histórico negativo.

“1.000 backlinks por US$ 9,99” — as ferramentas de SEO fraudulentas mais baratas ainda funcionam parcialmente no Bing

Por que o Bing e o DuckDuckGo são particularmente vulneráveis

A defesa contra spam em várias camadas do Google versus a detecção menos madura do Bing — a lacuna que os golpistas exploram

Estratégia de segmentação por palavras-chave

Os perfis de palavras-chave revelam precisão cirúrgica na seleção de alvos. Os operadores visam não apenas termos de marca primários, mas também typosquats (“carteira rabino”, “carteira Rubby”, “dexscrenner”) e até mesmo consultas em chinês (“Bolsa Aster” (25º lugar).

Segmentação multilíngue: inglês, francês, chinês, vietnamita — a operação abrange vários continentes

Contexto histórico: O problema da Trust Wallet / DuckDuckGo

Mesmo depois que a Trust Wallet deixou de usar o DDG como padrão, a vulnerabilidade subjacente persiste. Qualquer usuário que escolhe manualmente o DuckDuckGo por uma questão de privacidade — um grupo demográfico que se sobrepõe amplamente aos usuários de criptomoedas — continua exposto a esses mesmos ataques até hoje. As operações fraudulentas documentadas neste relatório vêm utilizando variações dessa técnica há vários anos, adaptando-se à medida que os mecanismos de busca vão corrigindo, aos poucos, os vetores individuais.

Como se proteger

• NUNCA conecte sua carteira a partir de um resultado de pesquisa
• Marcar como favorito sites legítimos diretamente
• Use o DDG’s !bang atalho: !g curve finance força a pesquisa no Google
• Instale a extensão de detecção de phishing do MetaMask
• Verifique qualquer domínio em PhishDestroy antes de conectar

Recomendações para a Microsoft/Bing

1. Detecção dinâmica de páginas: Classificar as páginas de resultados de busca (Yahoo, Baidu, Google) e remover a autoridade dos links externos
2. Detecção coordenada de PBN: Quando 9 domínios apontam para 5 sites diferentes com padrões idênticos, sinalize como manipulação
3. Camada de falsificação de marca: Detectar ataques de substituição de TLD (dexscreener.at ≈ dexscreener.com)
4. Monitoramento de domínios .AT: Maior rigor na análise de domínios .at recém-registrados nas SERPs de criptomoedas
5. Guia rápido do DuckDuckGo: Criar uma API dedicada à remoção de spam à qual o DDG possa acessar diretamente

As evidências são de domínio público. Os domínios estão documentados. As vítimas são reais. A solução está nas mãos da Microsoft.

Um operador. 26 iscas de phishing no Bing. Custo: US$ 2 por domínio.

Uma operadora, 26 domínios, um registrador

Executamos consultas RDAP em todos os 26 domínios de phishing. Todos, sem exceção, indicaram o mesmo registrador: NiceNIC International Group Co., Limited. Não a maioria. Não a maioria. Todos os 23 foram consultados com sucesso — registrador idêntico, com 3 erros de limite de taxa antes da verificação (os padrões de infraestrutura deles coincidem).

23 de 23 verificados. Mesmo registrador. Mesmo cliente. Nenhuma ação por abuso.

Dados de registro do RDAP — Comprovante de registro em lote

O Guia de US$ 2 — Passo a passo

Esqueça o SEO sofisticado. Esqueça meses de criação de links. Aqui está a sequência de ações completa e comprovada que garante o primeiro lugar nos resultados do Bing.

Quatro passos, US$ 2, e o Bing coloca um site de phishing em primeiro lugar

Etapa 1: Registro de Typosquats

Etapa 2: Clonar a tag de título (US$ 0, 5 minutos)

O operador copia exatamente o <title> tag e meta descrição do site do projeto real. Este é o passo mais importante de todos. A própria página é um site que esvazia carteiras ou rouba frases-semente — mas <title> é o que o Bing classifica.

Etapa 3: Enviar para a rede PBN oculta (US$ 0, 1 minuto)

O operador visita qualquer uma das 15 unidades da PBN (bye.fyi, atomizelink.icu, etc.), digita o domínio em um formulário intitulado “Insira sua URL” e clica em “Encurtar”. Um único envio cria uma página em todos os 15 sites simultaneamente — eles compartilham um único banco de dados.

Etapa 4: Aguardar (2 a 8 semanas, US$ 0)

Discriminação do custo total

Por dentro do Mecanismo de Ocultação

Recolhemos e analisamos o código-fonte HTML real da rede PBN. Todas as páginas em todos os domínios utilizam o mesmo mecanismo de cloaking.

O que os usuários veem x o que o Bingbot vê — o z-index: 1000000 a parede esconde 3.500 links

Estrutura da página: 400 KB de HTML, mais de 3.500 links, 4 camadas

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Prova: Uma rede, um banco de dados

orbit-protocol-lending.net aparece em vários domínios de PBN com IDs sequenciais do mesmo banco de dados:

Um banco de dados. 15 domínios de front-end. Todas as telas exibem o mesmo conteúdo a partir do mesmo back-end.

Os mesmos IDs em diferentes “marcas” = um único backend, um único operador. 15 domínios. O mesmo modelo HTML. O mesmo CSS (style.css). O mesmo JavaScript (work.js). As mesmas páginas com 3.500 links.

A Segunda PBN — Rede de Verificadores de Domínios

Uma rede de links separada e mais agressiva fornece backlinks dofollow para destinos selecionados. Servidor principal: all-aged-domains.com — uma instalação do WordPress 6.6.2 que fornece CSS, JS e modelos para 50 a 80 domínios satélites.

Por que o Bing cai nessa

O robô blindado do Google bloqueia o phishing logo na entrada. O simpático porteiro do Bing mantém a porta aberta.

A vulnerabilidade da luta pelo título

app.thnuster.cc tem exatamente UM backlink — uma página em cache da SERP do Yahoo. Ela ocupa a 1ª posição no Bing para a busca por “Thruster Finance”. Isso comprova que a classificação do Bing para consultas de marca com baixa concorrência se baseia principalmente em:

1. Correspondência exata da tag de título para a consulta de busca
2. O domínio está indexado (qualquer sinal — mesmo um único link “nofollow” — já é suficiente)
3. Sem sinais negativos de confiança (o domínio é novo, sem histórico)

O Google exigiria sinais de autoridade substanciais e faria uma comparação cruzada com domínios de marcas conhecidas. O Bing não faz isso.

Resultados nº 1 do Bing (verificados via SerpAPI, abril de 2026)

Lista de Proteção Atualizada (Marcas da Parte II)

Recomendações (Parte II)

À Microsoft/Bing:

1. A disputa pelo título, por si só, não constitui autoridade. Um título correspondente não deve fazer com que um novo domínio ocupe a primeira posição nos resultados de pesquisa para consultas relacionadas à marca. É necessário que haja idade do domínio, autoridade de backlinks ou sinais de verificação da marca.
2. Detectar cloaking baseado em CSS. As páginas que utilizam sobreposições com z-index para ocultar o conteúdo dos usuários, mas exibi-lo aos rastreadores, devem ser sinalizadas.
3. Detectar redes PBN coordenadas. 15 domínios que compartilham um único backend e apontam para os mesmos destinos não constituem uma estratégia orgânica de construção de links.
4. Marcar domínios registrados no NiceNIC nos resultados de busca de criptomoedas para uma análise mais aprofundada.
5. Criar uma fila prioritária para spam no DuckDuckGo. O DDG herda todas as vulnerabilidades do Bing, mas não possui um mecanismo independente de denúncia de spam.

À NiceNIC International Group Co., Limited:

À Cloudflare:

Todos os 26 domínios utilizam o DNS e o proxy da Cloudflare. Esses domínios hospedam programas que esvaziam carteiras e coletam frases-semente por meio da infraestrutura da Cloudflare.