Ataques à cadeia de suprimentos: pacotes maliciosos e bibliotecas de carteiras comprometidas

Um ataque à cadeia de suprimentos cripto acontece quando criminosos comprometem um software do qual carteiras, apps ou sites dependem, como um pacote de código aberto, uma extensão de navegador ou um servidor de atualizações, para que o código malicioso chegue aos usuários por um canal confiável. Normalmente, o código troca endereços de destino, injeta um wallet drainer em um site ou rouba frases-semente, e muitas vezes as vítimas não fazem nada de errado além de usar um produto em que já confiam.

Esses ataques importam para todos em cripto, não só para desenvolvedores. Carteiras e apps descentralizados modernos são construídos com centenas de componentes de terceiros, e um único componente comprometido pode afetar muitos produtos ao mesmo tempo. Este guia explica como os ataques funcionam, a que prestar atenção e como reduzir sua exposição como usuário ou desenvolvedor.

Como funciona um ataque à cadeia de suprimentos

A “cadeia de suprimentos” de um app cripto é tudo o que entra nele: bibliotecas de código, ferramentas de build, provedores de hospedagem, redes de distribuição de conteúdo e servidores de atualização. Um ataque costuma seguir estes passos:

1. 1Obter acesso. O atacante aplica phishing em um mantenedor de uma biblioteca popular, compra um pacote abandonado, adivinha uma senha fraca ou explora um servidor de build.
2. 2Inserir código malicioso. Ele publica uma nova versão com código oculto, muitas vezes ofuscado e projetado para ser ativado apenas em certas condições, como quando há uma carteira cripto presente.
3. 3Espalhar-se pelas atualizações. Apps que baixam automaticamente a versão mais recente da biblioteca incluem o código malicioso no próximo build ou, no caso de sites, assim que o script é carregado.
4. 4Roubar. O código pode substituir endereços copiados para a área de transferência, mostrar um pedido de transação falso, solicitar uma frase-semente ou injetar um drainer no front-end de um app descentralizado.
5. 5Esconder-se. Os atacantes costumam remover o código logo depois do uso, o que dificulta a investigação.

Há incidentes reais documentados que seguem esse padrão. Em 2018, uma dependência maliciosa adicionada a um pacote JavaScript popular foi projetada para roubar usuários de um app específico de carteira de bitcoin. Em dezembro de 2023, uma versão comprometida da biblioteca Connect Kit da Ledger fez com que, por um breve período, vários apps descentralizados exibissem um wallet drainer aos seus usuários. Os dois casos mostram que o ponto fraco era o código compartilhado, não os usuários. Para se aprofundar, veja Riscos de endereços vanity e endereços parecidos.

Pontos de entrada comuns

O typosquatting, ou seja, enviar um pacote com nome muito parecido ao de um pacote popular, é especialmente comum. Um desenvolvedor que digita errado o nome de um pacote pode instalar malware sem perceber.

Um exemplo hipotético

Este é um exemplo ilustrativo e composto, não um caso real. Imagine uma pequena exchange descentralizada que carrega uma biblioteca popular de conexão de carteiras a partir de um registro público de pacotes. Certa manhã, o mantenedor da biblioteca cai em um phishing e o atacante publica uma nova versão. O site da exchange carrega automaticamente a versão mais recente.

Durante algumas horas, todo usuário que conecta uma carteira vê o que parece um pedido de swap normal. Na verdade, é uma solicitação para aprovar seus tokens para o contrato do atacante. Usuários que leem com atenção a tela de aprovação da carteira notam um contrato desconhecido e param. Os que clicam sem ler perdem seus tokens. A equipe da exchange descobre o problema quando usuários relatam perdas e publica um alerta, mas a essa altura o código já foi removido.

Sinais de alerta para usuários

• Um app conhecido de repente pede uma frase-semente ou uma etapa de “validação da carteira” que nunca pediu antes.
• Uma ação de rotina gera um pedido incomum na carteira, como uma aprovação ilimitada ou uma assinatura para um contrato desconhecido.
• O endereço exibido na tela da sua carteira de hardware não corresponde ao que você pretendia.
• Uma extensão de navegador é atualizada e pede novas permissões, principalmente para ler e alterar dados em todos os sites.
• Um projeto ou pesquisadores de segurança publicam alertas urgentes para não usar um site ou app.

Muitos desses sinais se sobrepõem aos de malware de área de transferência e apps de carteira falsos, que usam técnicas semelhantes. Veja também: Falsas atualizações de navegador e malware de captcha que miram usuários de cripto.

Como se proteger

Como usuário

1. 1Use uma carteira de hardware e leia o endereço, o valor e o contrato na tela dela antes de confirmar.
2. 2Mantenha poucas extensões. Remova as que você não usa e tenha cuidado quando uma extensão mudar de dono ou pedir novas permissões.
3. 3Separe seus fundos. Guarde as posições de longo prazo em uma carteira que raramente se conecta a sites e use outra carteira para o DeFi do dia a dia.
4. 4Faça uma pausa após alertas de segurança. Evite usar um app até que ele confirme que o problema foi corrigido.
5. 5Revogue aprovações desnecessárias periodicamente.

Como desenvolvedor ou projeto

• Fixe versões de dependências e use lockfiles; revise as mudanças antes de atualizar.
• Confira os nomes dos pacotes com cuidado e prefira bibliotecas bem mantidas.
• Exija autenticação multifator nas contas de registros de pacotes e de hospedagem de código.
• Use versões assinadas e, quando possível, builds reproduzíveis para que os usuários possam verificar os binários.
• Use uma content security policy e subresource integrity para scripts de terceiros.

O que fazer se você foi afetado

1. 1Pare de usar o app ou a extensão afetada e desconecte todas as carteiras.
2. 2Verifique seu histórico de transações em busca de aprovações ou transferências durante o período afetado.
3. 3Revogue qualquer aprovação suspeita e mova os fundos restantes para uma nova carteira com uma nova frase-semente se a sua frase-semente puder ter sido exposta.
4. 4Reúna os hashes de transação e os endereços e depois denuncie o incidente pelos canais oficiais do projeto e pelo nosso formulário de denúncia de golpes.

Siga a lista completa em o que fazer imediatamente se a sua carteira for comprometida.

Conclusão

Ataques à cadeia de suprimentos transformam software confiável em um canal de roubo, então você não pode depender apenas de evitar links suspeitos. Trate a tela da sua carteira de hardware e os pedidos da carteira como a verificação final, mantenha seu uso de software enxuto e reaja rápido a alertas de segurança oficiais. Quem desenvolve carrega a maior parte da responsabilidade: fixe, revise e assine tudo o que publicar.