Um novo malware identificado por pesquisadores da HP se passa por software de IA para trading e substitui extensões legítimas de carteiras cripto no navegador por versões falsas projetadas para roubar credenciais.
Pesquisadores da divisão de segurança da HP identificaram uma ameaça sofisticada direcionada a usuários de criptomoedas: um malware batizado de Needle Stealer, que se disfarça de ferramenta de inteligência artificial voltada para operações de trading. A descoberta, divulgada pela CryptoSlate, acende um alerta para qualquer pessoa que utilize extensões de carteiras digitais em navegadores.
O funcionamento do ataque é particularmente insidioso: em vez de tentar invadir diretamente plataformas como Coinbase ou MetaMask, o Needle Stealer age de forma silenciosa no ambiente local da vítima. Ele localiza as extensões legítimas de carteiras instaladas no navegador e as substitui por cópias maliciosas — sem que o usuário perceba qualquer alteração visual imediata.
Segundo a CryptoSlate, a ameaça foi capaz de comprometer ao menos sete extensões de carteiras diferentes, demonstrando um escopo amplo e uma capacidade de adaptação que preocupa especialistas em segurança digital. O vetor de distribuição inicial é um suposto bot de IA para trading — software fraudulento que atrai vítimas prometendo automatizar operações no mercado de criptoativos.
Como o Needle Stealer burla as defesas do sistema
Um dos aspectos mais alarmantes do Needle Stealer é o uso de um software da Microsoft com assinatura digital válida para executar suas operações. Ao se apoiar em um binário legítimo e reconhecido pelo sistema operacional, o malware consegue contornar mecanismos de detecção de antivírus e ferramentas de segurança convencionais — uma técnica conhecida como “living off the land” (viver da terra), em que atacantes exploram recursos nativos do sistema para não levantar suspeitas.
As extensões falsas instaladas pelo malware são projetadas para capturar frases de recuperação (seed phrases), senhas e outras credenciais digitadas ou armazenadas pelo usuário. Uma vez comprometidas, essas informações permitem o esvaziamento completo das carteiras associadas — sem qualquer possibilidade de reversão, dada a natureza imutável das transações em blockchain.
O malware se apresenta como bot de inteligência artificial para trading, explorando o apelo crescente de ferramentas automatizadas no mercado cripto.
Extensões legítimas de carteiras são trocadas por cópias maliciosas sem alertas visíveis ao usuário, tornando a detecção manual muito difícil.
O uso de um binário Microsoft assinado digitalmente permite ao malware escapar de antivírus e ferramentas de segurança tradicionais.
Ao menos sete extensões de carteiras foram identificadas como alvos, sem que as plataformas Coinbase ou MetaMask fossem diretamente violadas.
O risco das carteiras quentes e a proteção offline
O caso reacende o debate sobre os riscos inerentes às carteiras quentes — aquelas conectadas à internet, geralmente na forma de extensões de navegador. Por definição, esse tipo de solução expõe as chaves privadas a um ambiente suscetível a ataques de software, phishing e, como demonstrado aqui, substituição maliciosa de componentes.
Especialistas em segurança reforçam que a única forma de proteger ativos digitais contra esse tipo de ameaça local é manter as chaves privadas em dispositivos que nunca se conectam à internet — as chamadas hardware wallets ou carteiras frias. Nesse modelo, mesmo que o computador esteja comprometido, as chaves permanecem isoladas fisicamente.
Por que carteiras de hardware importam
Ataques como o Needle Stealer exploram o ambiente do navegador e do sistema operacional — justamente onde as carteiras quentes operam. Uma hardware wallet mantém as chaves privadas em um chip isolado, nunca as expondo ao computador, mesmo durante transações. Isso torna ataques baseados em software local ineficazes contra os ativos armazenados no dispositivo físico.
Para usuários que precisam manter parte dos ativos em carteiras de navegador por razões operacionais, as recomendações de segurança incluem: instalar extensões apenas pelas lojas oficiais dos navegadores, verificar regularmente os identificadores das extensões instaladas e nunca inserir a seed phrase em qualquer interface após instalar novo software.
Leia tambem: como declarar Bitcoin no IR 2026.
📰 Nota editorial
Esta reportagem é baseada em análise divulgada pela CryptoSlate e pela equipe de segurança da HP. O KriptoHoje não teve acesso independente às amostras do malware e recomenda a leitura das fontes originais para aprofundamento técnico.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Proteja seus cripto com uma hardware wallet
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🎣 Phishing cripto: como identificar ataquesConheça as principais táticas usadas por golpistas para roubar carteiras digitais e saiba como se proteger no dia a dia.
🤖 IA no mercado cripto: oportunidades e riscosA inteligência artificial promete automatizar operações, mas também é usada como isca por golpistas. Veja como diferenciar soluções legítimas de fraudes.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.
As notícias que movem o mercado, sem ruído
Um resumo do que realmente importou em cripto e economia, direto no seu e-mail. Sem hype e sem recomendação de investimento.