Um servidor web mal configurado revelou um dos mais calculados esquemas de phishing cripto impulsionado por IA que pesquisadores de segurança documentaram neste ano. A empresa de cibersegurança Rapid7 afirma que encontrou a infraestrutura exposta quase por acaso, e o que descobriu foi uma máquina de fraude totalmente construída: quase 900.000 números de telefone, ferramentas automatizadas de verificação de contas, software de carteira falsificado e código escrito com a ajuda de assistentes de codificação de IA amplamente utilizados. A Rapid7 batizou a campanha de Operação ASTERIX, que oferece uma visão rara e detalhada de como ferramentas de IA generativa estão sendo incorporadas em campanhas de phishing de criptomoedas que antes exigiam muito mais esforço manual para serem executadas.
Summary
Principais pontos
- A Rapid7 descobriu a Operação ASTERIX, uma campanha de phishing cripto impulsionada por IA, após encontrar um servidor exposto e mal configurado.
- O conjunto de dados exposto continha cerca de 885.000 números de telefone, incluindo 316.002 números de celular alemães, e produziu 43.066 contas Crypto.com correspondentes.
- Os atacantes criaram aplicativos de carteira falsos imitando Trezor Suite, Ledger Live e Exodus, juntamente com páginas de phishing que falsificavam Crypto.com e Binance.
- Os assistentes de codificação GitHub Copilot e Claude Code foram usados para escrever, empacotar e aprimorar as ferramentas maliciosas, e os operadores tentaram trocar de modelos de IA após esbarrarem em restrições de segurança.
- A Rapid7 notificou provedores e autoridades afetados, incluindo a equipe de segurança da Apple, após documentar a operação.
Rapid7 descobre a Operação ASTERIX e sua verdadeira dimensão
A Operação ASTERIX combinou e-mails de phishing, chamadas de voz e software de carteira falso em um único fluxo de fraude coordenado, e os números por trás disso são impressionantes. O diretório exposto da Rapid7 continha aproximadamente 885.000 números de telefone distribuídos em vários conjuntos de dados, cada um aparentemente reunido para alimentar o mecanismo de segmentação da operação.
Descoberta e alcance da Operação ASTERIX
O maior lote individual dentro desse acervo era um conjunto de dados alemão contendo 316.002 números de celular. Em vez de disparar mensagens aleatoriamente, os operadores passaram essa lista por ferramentas automatizadas de validação projetadas para confirmar quais números pertenciam a contas ativas em corretoras de criptomoedas. Essa etapa foi importante: transformou uma massa de dígitos anônimos em uma lista selecionada de prováveis vítimas.
Uso de conjuntos de dados de telefone e validação de contas
Somente a partir dos números alemães, os atacantes identificaram 43.066 contas Crypto.com. De acordo com a reportagem do Crypto Briefing sobre o mesmo servidor, as verificações de validação contra os sistemas da Crypto.com tiveram uma taxa de acerto de 13,6%, o que significa que aproximadamente um em cada sete números testados correspondia a uma conta real e ativa. Aplicada ao banco de dados completo de 885.000 números, essa mesma proporção poderia teoricamente apontar para mais de 120.000 usuários ativos de corretoras que valeria a pena mirar — um detalhe que ressalta o quanto uma campanha de phishing pode ganhar alcance quando combina dados de telefone roubados ou raspados com uma ferramenta de validação confiável.
É aqui que a operação deixa de parecer um golpe aleatório e passa a se parecer com um sistema de segmentação. Uma vez que um número era confirmado como ativo, a Rapid7 afirma que a campanha adicionava registros enriquecidos — nomes, dados de contato, localizações e, em alguns casos, informações relacionadas à conta — para fazer com que o contato posterior parecesse pessoal em vez de genérico.
Métodos de phishing: personificação de marcas e aplicativos de carteira falsos
Os alvos confirmados eram direcionados para uma campanha de pressão multicanal projetada para parecer suporte legítimo ao cliente. E-mails e chamadas telefônicas coordenados faziam referência a dados de conta correspondentes, o que, segundo a Rapid7, tornava a personificação muito mais convincente do que um disparo típico de phishing em massa.
Personificação de grandes marcas de cripto
A infraestrutura de phishing personificava diretamente Crypto.com e Binance, duas das maiores corretoras do setor, conferindo ao contato um ar de autenticidade que empurrava os alvos para a próxima etapa da armadilha.
Implantação de aplicativos de carteira falsificados
Essa próxima etapa se concentrava em carteiras de criptomoedas falsas criadas para imitar softwares confiáveis. A Rapid7 recuperou versões falsificadas que se assemelhavam a Trezor Suite, Ledger Live e Exodus, empacotadas tanto para macOS quanto para Windows. Depois de instalados, os aplicativos solicitavam que os usuários digitassem suas frases de recuperação de 12 a 24 palavras — a chave mestra de qualquer carteira cripto — que então eram exfiltradas diretamente para os atacantes via Telegram. A Rapid7 também encontrou na operação um instalador falsificado do Claude Code que tentava instalar silenciosamente um desses aplicativos de carteira maliciosos junto com a ferramenta legítima de codificação por IA, combinando um produto de desenvolvimento confiável com uma carga maliciosa oculta.
Como as ferramentas de IA impulsionaram a campanha de phishing de criptomoedas
O que diferencia a Operação ASTERIX de roteiros de phishing mais antigos é o papel visível da IA generativa em sua construção. Artefatos recuperados do servidor exposto mostram os operadores recorrendo ao GitHub Copilot e ao Claude Code para tarefas de codificação, criação de scripts, empacotamento de aplicativos e trabalho de infraestrutura — o tipo de trabalho técnico que antes exigia um desenvolvedor dedicado.
Uso de GitHub Copilot, Claude Code e troca de ferramentas de IA
A investigação da Rapid7 constatou que os fraudadores usaram esses assistentes não apenas para escrever código funcional, mas para aprimorá-lo ativamente, incluindo tentativas de contornar as barreiras de segurança incorporadas às próprias ferramentas.
Esforços para contornar restrições de modelos de IA
Em determinado momento, o Claude teria se recusado a atender solicitações relacionadas à ofuscação de código. Em vez de parar ali, o operador mudou para um modelo diferente, o Kimi, e tentou ultrapassar também suas restrições. A Rapid7 afirma que não conseguiu confirmar se essa tentativa específica de contorno teve sucesso — apenas que as evidências documentam um padrão deliberado de troca de ferramentas sempre que um sistema de IA oferecia resistência.
Por que isso importa: esse padrão mostra que as barreiras de segurança de IA, embora úteis, não são um bloqueio completo quando um operador determinado simplesmente migra para outro modelo. À medida que as ferramentas de codificação por IA se multiplicam, também aumenta o número de portas disponíveis para alguém que tenta escapar dos controles de segurança.
Notificação, resposta e o que vem a seguir
Apesar da escala dos dados envolvidos, a atividade cotidiana da operação parecia surpreendentemente pequena. Registros de atividade recuperados do servidor mostraram apenas 20 consultas de leads e seis e-mails de phishing enviados ao longo de aproximadamente duas semanas, sugerindo que os operadores preferiam precisão a volume — um conjunto pequeno e selecionado de alvos de alta confiança em vez de um disparo massivo de spam.
Notificação a provedores e autoridades
A Rapid7 descobriu a campanha enquanto grande parte de sua infraestrutura ainda estava ativa ou em desenvolvimento, e coordenou com a equipe de segurança da Apple antes de publicar suas descobertas em 17 de agosto de 2026. A empresa também notificou outros provedores relevantes sobre os dados expostos e os aplicativos falsificados.
Riscos potenciais e exposição para usuários de cripto
Para corretoras como a Crypto.com, o episódio levanta uma questão incisiva: quanto sinal os endpoints automatizados de validação de contas vazam para sondagens externas? Uma taxa de confirmação de 13,6% em uma consulta de número de telefone é suficiente para que um atacante construa uma lista de alvos viável sem jamais tocar em uma senha. Esse é um argumento forte para apertar a forma como APIs de validação respondem a consultas em massa, já que o vazamento não está no software da carteira — está no ponto de verificação que diz a um atacante quem vale a pena mirar em primeiro lugar.
A lição mais ampla para o setor é menos sobre esta operação específica e mais sobre o que ela sinaliza. Assistentes de codificação por IA tornaram mais rápido e barato construir aplicativos de carteira falsos convincentes e infraestrutura de phishing, e a Operação ASTERIX mostra que as barreiras internas dessas ferramentas podem ser contornadas simplesmente trocando para um modelo mais permissivo. Essa combinação — desenvolvimento barato assistido por IA mais grandes conjuntos de dados de telefone validados — provavelmente continuará aparecendo em futuras campanhas de phishing de criptomoedas, independentemente de esta rede específica ressurgir ou não sob um novo nome.
FAQ
O que é a Operação ASTERIX?
A Operação ASTERIX é uma campanha de phishing cripto impulsionada por IA descoberta pela Rapid7 que usou dados de telefone, validação de contas e aplicativos de carteira falsos para roubar frases de recuperação de criptomoedas.
Como os atacantes identificaram seus alvos?
Os atacantes usaram extensos conjuntos de dados de números de telefone e ferramentas automatizadas de validação para identificar números vinculados a contas ativas em corretoras de criptomoedas, incluindo mais de 43.000 contas Crypto.com identificadas a partir de um conjunto de dados alemão de 316.002 números.
Que papel as ferramentas de IA desempenharam na campanha de phishing?
Assistentes de codificação por IA como GitHub Copilot e Claude Code foram usados em tarefas de codificação, criação de scripts, empacotamento de aplicativos e infraestrutura para a operação de phishing, e os operadores alternaram entre modelos após se depararem com restrições de segurança.
Quais medidas foram tomadas após a descoberta da Operação ASTERIX?
A Rapid7 notificou provedores de serviços e autoridades relevantes, incluindo a equipe de segurança da Apple, e publicou suas descobertas em 17 de agosto de 2026 para ajudar a mitigar a campanha.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”O que é a Operação ASTERIX?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Operação ASTERIX é uma campanha de phishing cripto impulsionada por IA descoberta pela Rapid7 que usou dados de telefone, validação de contas e aplicativos de carteira falsos para roubar frases de recuperação de criptomoedas.”}},{“@type”:”Question”,”name”:”Como os atacantes identificaram seus alvos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os atacantes usaram extensos conjuntos de dados de números de telefone e ferramentas automatizadas de validação para identificar números vinculados a contas ativas em corretoras de criptomoedas, incluindo mais de 43.000 contas Crypto.com identificadas a partir de um conjunto de dados alemão de 316.002 números.”}},{“@type”:”Question”,”name”:”Que papel as ferramentas de IA desempenharam na campanha de phishing?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Assistentes de codificação por IA como GitHub Copilot e Claude Code foram usados em tarefas de codificação, criação de scripts, empacotamento de aplicativos e infraestrutura para a operação de phishing, e os operadores alternaram entre modelos após se depararem com restrições de segurança.”}},{“@type”:”Question”,”name”:”Quais medidas foram tomadas após a descoberta da Operação ASTERIX?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Rapid7 notificou provedores de serviços e autoridades relevantes, incluindo a equipe de segurança da Apple, e publicou suas descobertas em 17 de agosto de 2026 para ajudar a mitigar a campanha.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
