No mercado de criptomoedas, a regra máxima é a autocustódia, mas confiar a segurança dos seus Bitcoins a aplicativos de celular pode ser um erro fatal. Uma investigação recente conduzida por um desenvolvedor independente analisou quase 500 carteiras digitais disponíveis na App Store e revelou que pelo menos 45 delas mentiam aos usuários: em vez de manterem as "12 palavras" (seed phrase) restritas ao aparelho, enviavam secretamente a chave para servidores externos.
A ameaça vai além do sistema iOS. A Play Store, do Google, também possui um histórico longo de aplicativos fraudulentos que burlam a verificação disfarçando-se de calculadoras inofensivas ou escondendo mecanismos que vasculham as galerias de fotos dos usuários atrás de prints de palavras de recuperação. Até mesmo empresas conhecidas do setor foram pegas expondo os dados de seus clientes, revelando que falhas de programação amadora com Inteligência Artificial estão se tornando tão perigosas quanto golpes intencionais.
Diante do barateamento da criação de malwares e da sofisticação dos ataques, a única forma de blindar verdadeiramente seus investimentos em Bitcoin é assumir que nenhum aplicativo conectado à internet é 100% confiável. A solução definitiva é migrar a custódia para uma carteira física (hardware wallet) adequada, mantendo as chaves geradas e armazenadas offline. O texto a seguir detalha as armadilhas descobertas e como proteger o seu patrimônio dessa nova onda de ameaças digitais.
A ILUSÃO DA SEGURANÇA NOS APLICATIVOS DE BITCOIN
Você provavelmente já baixou uma carteira de Bitcoin na loja oficial do seu celular, confiando na nota alta, nos milhares de downloads e, acima de tudo, na promessa fundamental: a de que as suas "12 palavras" de recuperação nunca deixariam o aparelho. No universo cripto, essas palavras não são apenas uma senha; elas são a própria carteira. Quem as possuir tem acesso irrestrito para movimentar todos os seus fundos. E é exatamente aí que reside a nova ameaça que tem esvaziado contas no mundo todo.
O desenvolvedor conhecido como "Overtorment", responsável pela renomada Blue Wallet, decidiu auditar as garantias de privacidade da App Store. Ele catalogou 904 aplicativos de carteiras, abriu o código de quase 500 delas e fez uma verificação simples: o aplicativo realmente faz o que promete? Em pelo menos 45 casos, a resposta foi não.
MECANISMOS DE ROUBO: DA ISCA À GALERIA DE FOTOS
Os métodos utilizados para o roubo de chaves revelam uma sofisticação assustadora, mesmo em aplicativos que ostentam o selo de "código aberto" (open source):
- Envio Direto: Aplicativos como o YBit capturam e enviam as 12 palavras e o IP do usuário para os servidores dos desenvolvedores logo na tela de cadastro ou na ativação da autenticação de dois fatores.
- O Código "Isca": A carteira Aura, por exemplo, possui um código limpo e seguro disponível publicamente no GitHub. No entanto, o aplicativo real disponibilizado para download na loja é diferente e contém mecanismos que desviam a frase secreta para servidores ocultos.
- O Cavalo de Troia Adormecido: A Grey Wallet possui um sistema de coleta de chaves que fica inativo para burlar as revisões das lojas de aplicativos. O desenvolvedor pode ativar o roubo de dados remotamente, sem que o usuário precise baixar qualquer atualização.
- O Rastreador de Galeria: O caso mais crítico é o de aplicativos (como o Hélios ou malwares como o Sparkat descoberto pela Kaspersky) que não esperam você digitar nada. Eles rodam um reconhecimento de texto (OCR) oculto em todas as fotos da sua galeria, buscando o print screen ou a foto que você tirou das suas palavras por "precaução".
UM PROBLEMA QUE VAI ALÉM DOS GOLPISTAS
O perigo não se restringe a hackers russos ou cibercriminosos do submundo. A pesquisa revelou que até mesmo a Swiss Bitcoin Pay, uma empresa real e estabelecida com foco em Bitcoin, continha o erro em seu aplicativo de código aberto. Ao fazer login, a chave do usuário era enviada para os servidores da empresa devido a falhas grosseiras de programação.
Com a democratização da Inteligência Artificial, criar um aplicativo convincente e funcional tornou-se barato e rápido. Consequentemente, o mercado foi inundado tanto por aplicativos fraudulentos quanto por carteiras criadas por amadores com falhas gravíssimas de arquitetura e segurança.
A REGRA DE OURO PARA PROTEGER O SEU PATRIMÔNIO
Se você encontrou a sua carteira digital na lista de aplicativos suspeitos, apenas desinstalar o programa não resolve o problema. Considere que suas 12 palavras já estão comprometidas. A atitude imediata é transferir o saldo existente para uma carteira provisória limpa e renomada. O mesmo protocolo se aplica a quem cometeu o erro de salvar uma foto das palavras no celular: a chave deve ser descartada.
A pergunta correta que o investidor de criptomoedas deve se fazer não é "qual aplicativo é seguro?", mas sim "como monto uma custódia que não dependa da confiança em nenhum aplicativo?".
A resposta para a soberania financeira é a desconexão. As suas chaves de recuperação devem ser geradas e guardadas em uma carteira física (hardware wallet) — um dispositivo sem conexão à internet e projetado para uma única função: assinar transações sem nunca expor suas 12 palavras. O celular, por ser um aparelho multitarefas constantemente conectado e repleto de aplicativos com acesso irrestrito ao sistema, provou não ser o cofre ideal para o seu patrimônio.
Para consultar a tabela integral com os 45 apps e os trechos de código malicioso encontrados em cada um, você pode acessar a publicação original do pesquisador no endereço: kek.lol/research/appstore-wallets/
🚨 Aviso de Segurança: Se você gerou ou inseriu as suas 12 ou 24 palavras de recuperação em qualquer um desses aplicativos, desinstalar o programa não protege o seu dinheiro. Você deve assumir que a sua chave já está comprometida, transferir seus fundos imediatamente para uma carteira segura gerada do zero (preferencialmente em uma hardware wallet) e descartar as palavras antigas definitivamente.
إرسال تعليق