Acabei de descobrir algo bastante preocupante que os investigadores de segurança da ReversingLabs revelaram. Aparentemente, um grupo de hackers norte-coreano conseguiu inserir código malicioso numa ferramenta de negociação de criptomoedas popular, disfarçando-o num pacote npm chamado PromptMink.

Aqui está como aconteceu: a ReversingLabs descobriu que esta porta-voz foi gerada usando o modelo de IA do Claude e plantada no openpaw-graveyard, um projeto de código aberto de criptomoedas. Os atacantes por trás disto são do Famous Chollima, um grupo patrocinado pelo estado que tem conduzido esta operação desde pelo menos setembro de 2025. A abordagem deles é bastante sofisticada — usam uma estratégia de duas camadas onde o primeiro pacote parece limpo, mas o segundo carrega a carga útil real. Quando os desenvolvedores removem a versão maliciosa, eles simplesmente enviam uma substituição no mesmo dia.

O que torna isto ainda pior é a evolução do malware. Agora, ele é compilado como uma carga útil em Rust que causa danos sérios assim que instalada. Estamos a falar de roubo de credenciais de carteiras, coleta de informações do sistema, extração de código fonte e implantação de chaves SSH para acesso persistente de porta-voz em máquinas Linux e Windows.

A ReversingLabs tem acompanhado isto, e é um lembrete claro de quão frágil é a cadeia de suprimentos na área de criptomoedas. Estes ataques visam as ferramentas que os desenvolvedores usam todos os dias, o que significa que podem potencialmente comprometer projetos inteiros. O fato de usarem código gerado por IA para evitar a deteção torna tudo ainda mais complicado. Se estiveres a usar ferramentas de criptomoedas, especialmente qualquer coisa que puxe pacotes do npm, vale a pena prestar atenção. Certifica-te de que as dependências são realmente de fontes confiáveis e mantém os sistemas atualizados.