Hackers exploram smart contracts na BNB Chain para distribuir malware com CAPTCHAs falsos

Cibercriminosos estão transformando uma das características mais valorizadas do blockchain — a imutabilidade — em ferramenta de ataque. Segundo a Microsoft Threat Intelligence, uma campanha de malware vem usando smart contracts na BNB Smart Chain para armazenar e entregar código malicioso, aproveitando a resistência à censura da rede para atingir milhares de usuários por dia. A operação, conhecida como ClickFix (também chamada de TerminalFix), exibe CAPTCHAs falsos em sites comprometidos para induzir visitantes a executar comandos que instalam malware ladrão de informações em computadores com Windows. Como funciona o EtherHiding A base técnica do esquema é uma técnica chamada EtherHiding. Em vez de hospedar os "payloads" em servidores tradicionais — mais fáceis de identificar e derrubar — os atacantes inserem comandos e dados de configuração diretamente em smart contracts implantados na BNB Smart Chain. Ao acessar um site comprometido, geralmente um WordPress invadido de forma discreta, um JavaScript injetado faz uma chamada ao blockchain. O smart contract devolve instruções codificadas em Base64, que o navegador decodifica e executa. Com isso, os sites infectados não precisam ser alterados repetidamente. Depois de inserido o JavaScript inicial, os operadores podem atualizar o conteúdo do ataque implantando novos smart contracts ou atualizando os que controlam on-chain. A cada visita, a página busca as instruções mais recentes diretamente na rede. O payload: Lumma Stealer e roubo de credenciais O objetivo final dos CAPTCHAs falsos é instalar malware voltado ao roubo de credenciais. O principal payload observado é o Lumma Stealer, um ladrão de informações capaz de coletar senhas salvas no navegador, credenciais de carteiras de criptomoedas, cookies de sessão e outros dados sensíveis. A campanha mira tanto dispositivos corporativos quanto de consumidores, ampliando significativamente o potencial de impacto. A ClickFix foi associada à iniciativa ClearFake, uma operação de longa duração que usa iscas de engenharia social, como alertas falsos de atualização de navegador, desde pelo menos o fim de 2025. Após ser identificada no início de agosto de 2026, a mudança para CAPTCHAs falsos sinaliza uma evolução tática. Blockchain como infraestrutura, não só moeda A BNB Smart Chain não foi concebida para hospedar malware. Ainda assim, por ser permissionless, qualquer pessoa pode implantar um smart contract contendo dados arbitrários — e ninguém consegue forçar a remoção. As mesmas propriedades que tornam sistemas descentralizados resistentes à censura governamental também dificultam a intervenção de equipes de cibersegurança. Para usuários, a orientação é simples. Nunca execute comandos solicitados por um CAPTCHA: CAPTCHAs legítimos não pedem que você rode nada no computador. Mantenha extensões de navegador e sistemas operacionais atualizados. Se um site WordPress passar a se comportar de forma estranha, feche a aba e não volte.