Um novo relatório revelou que hackers norte-coreanos, associados ao infame Lazarus Group, estão se infiltrando no setor de criptomoedas de maneira ainda mais ousada: criando empresas de fachada nos Estados Unidos para disseminar malware entre desenvolvedores.
Segundo a Reuters, a investigação da empresa de cibersegurança Silent Push identificou duas firmas falsas, Blocknovas LLC (no Novo México) e Softglide LLC (em Nova York), utilizadas como disfarces para operações de espionagem e ataques cibernéticos — uma violação direta das sanções impostas pelos EUA.
Falsas Oportunidades de Trabalho e Armadilhas Digitais
Os hackers se apresentavam como recrutadores legítimos em plataformas como LinkedIn, oferecendo vagas de trabalho atraentes para profissionais de criptoativos. Durante as entrevistas, as vítimas eram induzidas a instalar supostos softwares de avaliação ou contratação, que na realidade eram programas maliciosos.
A operação foi atribuída a uma subunidade do Lazarus Group, comandada pelo Bureau de Reconhecimento Geral da Coreia do Norte. O endereço físico da Blocknovas, listado na Carolina do Sul, revelou ser apenas um terreno vazio, enquanto a Softglide foi registrada por meio de um serviço de contabilidade em Buffalo, dificultando ainda mais a identificação dos reais responsáveis.
Entre as ferramentas usadas, foram detectadas variantes de malwares capazes de roubar dados, assumir o controle remoto dos sistemas e infiltrar redes inteiras — armas digitais já ligadas a outras ações do regime norte-coreano.
FBI Entra em Ação
O FBI apreendeu o domínio da Blocknovas, publicando um aviso oficial no site, alertando que ele foi utilizado para enganar candidatos e propagar malware. A ação reforça a preocupação crescente com a facilidade de criação de empresas fictícias nos EUA, exploradas para fins criminosos e de espionagem.
Uma Estratégia Repetida
Essa não é a primeira vez que o Lazarus Group aposta em vagas de trabalho falsas como isca. Em campanhas anteriores, como a operação “ClickFix”, os hackers se passaram por empresas conhecidas como Coinbase e Tether para atrair profissionais de marketing e negócios no setor de finanças centralizadas (CeFi).
Um dos maiores golpes atribuídos ao grupo ocorreu em 2021, quando um falso processo seletivo levou ao hack de US$ 625 milhões da Ronin Bridge, impactando diretamente a rede do Axie Infinity.
Conclusão
O episódio evidencia não apenas a criatividade dos grupos de hackers patrocinados por estados, mas também a vulnerabilidade dos sistemas de registro comercial nos Estados Unidos. Em um cenário onde o setor de criptoativos continua a crescer, desenvolvedores e empresas precisam redobrar a atenção contra armadilhas disfarçadas de oportunidades.
Como a armadilha da entrevista funcionava
O relatório da Silent Push detalha o roteiro da campanha, que os pesquisadores chamam de Contagious Interview. Além da Blocknovas e da Softglide, havia uma terceira fachada, a Angeloper Agency, que não chegou a ser registrada nos EUA. A Blocknovas era, de longe, a mais ativa das três.
As vagas eram publicadas em plataformas legítimas de freelancers e de emprego do setor, como Upwork, Freelancer e CryptoJobsList. O candidato passava por várias etapas de candidatura até chegar a uma página que pedia um vídeo de apresentação. Ao clicar, surgia um aviso falso dizendo que o acesso à câmera ou ao microfone estava bloqueado, com instruções para copiar e colar um comando no terminal. Era esse comando que instalava o malware, com versões para Windows, macOS e Linux.
Os perfis dos supostos funcionários usavam fotos geradas por inteligência artificial, e a infraestrutura era escondida atrás de VPN. Segundo a Silent Push, houve vítimas confirmadas, incluindo um desenvolvedor que relatou ter a carteira MetaMask comprometida.
Os três malwares usados na campanha
- BeaverTail: programa em JavaScript que rouba dados de extensões de carteiras no navegador, como MetaMask, Phantom e Coinbase Wallet.
- InvisibleFerret: backdoor em Python que dá ao invasor controle remoto persistente da máquina.
- OtterCookie: componente que, entre outras funções, monitora a área de transferência, onde muita gente copia endereços e frases de recuperação.
A combinação é pensada para o público-alvo. Um desenvolvedor de cripto costuma ter carteiras instaladas, chaves de acesso a servidores e credenciais de repositórios na mesma máquina em que faz o teste técnico. Um único comando colado no terminal pode abrir caminho para tudo isso.
O peso da Coreia do Norte no roubo de cripto
O episódio aconteceu dois meses depois do maior roubo da história do setor. Em fevereiro de 2025, o FBI atribuiu à Coreia do Norte o roubo de cerca de US$ 1,5 bilhão em ativos virtuais da exchange Bybit, numa operação que o órgão chama de TraderTraitor. A lógica é a mesma das vagas falsas: atacar pessoas e processos, não a criptografia das blockchains.
Para o leitor brasileiro, o alerta vale igualmente. As vagas remotas em dólar atraem muitos desenvolvedores do Brasil, e as mesmas plataformas usadas na campanha são populares aqui. Algumas regras simples reduzem muito o risco:
- Nunca cole em seu terminal um comando enviado por um recrutador ou por uma página de entrevista.
- Faça testes técnicos em uma máquina virtual ou em um computador sem carteiras e sem credenciais de trabalho.
- Confirme a existência da empresa por canais independentes (site oficial, registro comercial, funcionários reais no LinkedIn).
- Guarde a frase de recuperação fora do computador. Veja nosso guia sobre seed phrase.
Se você cair em um golpe desse tipo, registre boletim de ocorrência, avise a exchange onde tem conta para tentar bloquear fundos e guarde prints e hashes das transações.
Perguntas frequentes
Quais eram as empresas falsas criadas pelos hackers?
A Silent Push identificou três fachadas: Blocknovas LLC, registrada no Novo México, Softglide LLC, registrada em Nova York, e Angeloper Agency, sem registro nos EUA. O FBI apreendeu o domínio da Blocknovas.
Como o malware era instalado nas vítimas?
Durante a etapa de vídeo da falsa entrevista, aparecia um erro de câmera ou microfone com um comando para ser copiado e colado no terminal. Ao executar o comando, a vítima instalava os malwares BeaverTail, InvisibleFerret e OtterCookie.
Desenvolvedores brasileiros também são alvo?
Sim. As vagas eram publicadas em plataformas globais de freelancers usadas por muitos brasileiros, e qualquer profissional de cripto que aceite testes técnicos em casa pode ser alvo.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de fora. A gente mede isso todo dia em seis corretoras e publica o ranking — veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que valem a pena em uma página só, com o que cada um exige pra liberar — veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin e o que muda pra quem tem cripto no Brasil, sem hype — assine a newsletter.
