Uma falsa entrevista de emprego no LinkedIn acabou custando a uma empresa US$11,8 milhões depois que um suposto recrutador conduziu um funcionário baseado em Singapura diretamente para uma armadilha de malware. O golpe de emprego cripto em Singapura se desenrolou em etapas que pareciam rotineiras no início — uma mensagem no LinkedIn, algumas chamadas de vídeo, um teste de programação — antes de se transformar em uma violação completa da infraestrutura corporativa e em um roubo de criptomoedas, de acordo com a Força Policial de Singapura e a Agência de Segurança Cibernética de Singapura.
Summary
Principais pontos
- Uma vítima foi abordada no LinkedIn por um golpista se passando por recrutador de uma empresa relacionada a criptomoedas e, em seguida, conduzida por um falso processo de entrevista.
- Um domínio falsificado e uma avaliação técnica manipulada instalaram malware no dispositivo corporativo da vítima sem o seu conhecimento.
- O malware coletou um token de sessão, permitindo que os invasores contornassem a autenticação multifator e invadissem a conta do repositório de código Bitbucket da vítima.
- A partir do Bitbucket, os invasores alteraram as instruções de implantação, avançaram para os servidores internos da empresa e contornaram os controles de transação para roubar US$11,8 milhões em criptomoedas.
- As autoridades de Singapura não vincularam o ataque à Coreia do Norte nem a qualquer outro grupo de hackers nomeado.
Golpe de Emprego Cripto em Singapura Leva a Perda de US$11,8 Milhões
O golpe começou com uma mensagem que parecia uma proposta de recrutamento comum. A SPF e a CSA disseram que a vítima foi contatada inicialmente no LinkedIn por alguém que afirmava recrutar para uma empresa relacionada a criptomoedas, dando início a um processo de entrevista que acabou concedendo a terceiros acesso ao próprio empregador da vítima.
Uma Entrevista no LinkedIn que Não Era
Depois que a conversa saiu do LinkedIn, o falso recrutador passou a usar e-mail com um domínio falsificado criado para se assemelhar de perto ao endereço real da empresa. A vítima então participou de várias entrevistas no Google Meet — embora, de forma notável, a pessoa que as conduzia tenha mantido a câmera desligada o tempo todo. À medida que o processo avançava, o alvo foi direcionado a um site falsificado e instruído a concluir uma avaliação técnica de programação em um dispositivo fornecido pela empresa. Essa avaliação entregou silenciosamente um software malicioso à máquina, e a vítima não fazia ideia de que o dispositivo havia sido comprometido.
Malware Contorna MFA para Alcançar o Bitbucket e os Servidores da Empresa
Uma vez instalado, o malware coletou o token de sessão da vítima — um dado que permitiu aos invasores ignorar completamente a autenticação multifator. Esse contorno de autenticação multifator abriu a porta para a conta Bitbucket da vítima, que estava diretamente vinculada ao repositório de código do empregador. Como o Bitbucket é amplamente utilizado por equipes de desenvolvimento para armazenar, gerenciar e colaborar em código-fonte, uma única conta de funcionário comprometida com as permissões certas pode expor muito mais do que o dispositivo de uma única pessoa.
A partir daí, a intrusão escalou rapidamente. A SPF e a CSA disseram que os invasores modificaram as instruções automatizadas de implantação de software da empresa depois de invadir a conta do Bitbucket e, em seguida, usaram essa base para acessar remotamente os servidores internos da empresa — transformando o que começou como uma tentativa de phishing com golpe de emprego em um ataque de comprometimento do Bitbucket em grande escala contra a infraestrutura da empresa.
O golpe final veio por meio das credenciais coletadas ao longo do caminho. Essas credenciais roubadas permitiram que os invasores contornassem os limites de transação e as verificações de aprovação destinadas a controlar transferências de criptomoedas, e eles usaram esse acesso para mover fundos para fora da empresa. O dano total: US$11,8 milhões em perdas, confirmaram as autoridades.
Um Roteiro Familiar em Todo o Setor Cripto
Esta não é uma técnica isolada. Ataques com tema de recrutamento repetidamente se apoiaram em plataformas confiáveis — LinkedIn, Telegram, Google Meet, Slack — para fazer o contato inicial parecer legítimo antes de empurrar os alvos para arquivos ou softwares maliciosos. É exatamente isso que torna esse estilo de golpe de recrutamento em criptomoedas tão eficaz: ele explora a confiança profissional em vez de uma fraqueza técnica no ponto de entrada.
Em abril, uma campanha de malware Obsidian usou LinkedIn e Telegram para abordar profissionais de cripto e finanças, convencendo-os a instalar plugins maliciosos para o aplicativo legítimo de anotações Obsidian. O Elastic Security Labs identificou o malware como PHANTOMPULSE, observando que ele usava três redes blockchain para receber comandos e manter persistência. Nesse mesmo período, o serviço de carteira Zerion divulgou um incidente de segurança de $100.000 decorrente de uma campanha prolongada de engenharia social atribuída a atacantes da Coreia do Norte, com pesquisadores da Security Alliance conectando a campanha a 164 domínios maliciosos usados para infiltrar empresas de cripto por meio do Slack e do LinkedIn. A Zerion disse que os atacantes haviam mirado o lado humano de suas operações em vez de quebrar diretamente a tecnologia de sua carteira.
UNC4899 da Coreia do Norte e Outros Ataques Baseados em Recrutadores
As autoridades de Singapura não atribuíram a perda de US$11,8 milhões à Coreia do Norte nem a qualquer outro grupo de hackers. Mas as táticas ecoam um padrão que atores ligados à Coreia do Norte já usaram antes. A Google Cloud e a Wiz relataram em 2025 que um grupo conhecido como UNC4899, ou TraderTraitor, abordou funcionários de empresas de cripto por meio de LinkedIn e Telegram fingindo ser recrutadores, persuadindo alguns a executar contêineres Docker maliciosos que implantavam downloaders e backdoors. Em pelo menos um caso, o Google disse que o grupo desativou a autenticação multifator em uma conta privilegiada do Google Cloud para alcançar serviços relacionados a carteiras. O grupo estaria ativo desde 2020, com forte foco em empresas de cripto e blockchain.
Ambientes de desenvolvimento continuam aparecendo como o ponto fraco em todos esses casos. Uma campanha TrapDoor descoberta em maio comprometeu tokens do GitHub, chaves SSH e credenciais de nuvem, além de dados de carteiras de criptomoedas — permitindo que agentes de ameaça obtivessem múltiplas formas de acesso ao sistema por meio de uma única configuração de máquina de desenvolvedor comprometida. Já uma campanha de falsas entrevistas em dezembro de 2024 abordou profissionais de Web3 por meio de LinkedIn, Telegram e plataformas de freelancers, posteriormente conduzindo-os a uma tarefa em vídeo em que um suposto problema de microfone ou câmera levava as vítimas a executar comandos que abriam seus dispositivos para os invasores. A investigadora on-chain Taylor Monahan disse, na época, que executar esses comandos poderia entregar aos atacantes acesso geral a um dispositivo, criando brechas para roubar dados, monitorar atividades ou comprometer carteiras de criptomoedas.
Como as Autoridades de Singapura Dizem que as Empresas Devem Responder
Após o incidente, a SPF e a CSA instaram empresas e indivíduos — especialmente aqueles em tecnologia e cripto — a verificar a identidade de recrutadores e das empresas que afirmam representar antes de abrir arquivos, sites ou softwares relacionados a vagas de emprego. As empresas também foram orientadas a proteger chaves de API e credenciais internas, fortalecer a autenticação multifator e proteger repositórios de código e pipelines de implantação especificamente, já que o acesso a esses sistemas pode permitir que um único dispositivo comprometido alcance toda a infraestrutura da empresa.
Isolar, Revogar, Redefinir
Para empresas que suspeitam que uma violação já ocorreu, as agências recomendaram isolar imediatamente os dispositivos ou sistemas afetados, revogar sessões ativas e redefinir credenciais sem demora. Os logs de acesso devem ser verificados em busca de sinais de que os invasores alcançaram outras contas ou infraestruturas, e as equipes devem verificar se repositórios, servidores ou fluxos de aprovação foram alterados durante o comprometimento. Equipes internas de segurança ou provedores externos devem ser acionados imediatamente para determinar quais contas foram expostas e se alterações não autorizadas seguiram a intrusão inicial.
Para indivíduos, o conselho é mais simples, mas igualmente direto: trate ofertas de recrutamento não solicitadas com cautela, verifique de forma independente tanto o recrutador quanto a empresa e fique atento sempre que um processo de entrevista pedir que candidatos baixem arquivos, executem código desconhecido ou usem sites de fontes não verificadas.
Perguntas Frequentes
Como os invasores comprometeram inicialmente o dispositivo da vítima?
Os invasores se passaram por recrutadores no LinkedIn e usaram domínios falsificados e um site de entrevista falso para implantar malware durante uma avaliação técnica em um dispositivo corporativo.
Qual recurso de segurança os invasores contornaram para acessar a conta Bitbucket da empresa?
Os invasores coletaram tokens de sessão por meio de malware para contornar a autenticação multifator e acessar o repositório Bitbucket.
Que conselho as autoridades de Singapura dão para prevenir golpes de recrutamento semelhantes?
As autoridades recomendam verificar a identidade de recrutadores, proteger chaves de API e repositórios de código, isolar imediatamente dispositivos comprometidos, revogar sessões e redefinir credenciais.
O ataque é atribuído a algum grupo de hackers conhecido?
As autoridades de Singapura não atribuíram este ataque específico à Coreia do Norte nem a qualquer outro grupo de hackers.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Como os invasores comprometeram inicialmente o dispositivo da vítima?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os invasores se passaram por recrutadores no LinkedIn e usaram domínios falsificados e um site de entrevista falso para implantar malware durante uma avaliação técnica em um dispositivo corporativo.”}},{“@type”:”Question”,”name”:”Qual recurso de segurança os invasores contornaram para acessar a conta Bitbucket da empresa?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os invasores coletaram tokens de sessão por meio de malware para contornar a autenticação multifator e acessar o repositório Bitbucket.”}},{“@type”:”Question”,”name”:”Que conselho as autoridades de Singapura dão para prevenir golpes de recrutamento semelhantes?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As autoridades recomendam verificar a identidade de recrutadores, proteger chaves de API e repositórios de código, isolar imediatamente dispositivos comprometidos, revogar sessões e redefinir credenciais.”}},{“@type”:”Question”,”name”:”O ataque é atribuído a algum grupo de hackers conhecido?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As autoridades de Singapura não atribuíram este ataque específico à Coreia do Norte nem a qualquer outro grupo de hackers.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
