A Microsoft e a Coinbase ajudaram a desmantelar os EvilTokens, um serviço de phishing com IA que comprometeu mais de 12 000 caixas de correio e afetou mais de 10 000 organizações nos setores dos serviços financeiros, imobiliário, saúde e construção. A subscrição, gerida via Telegram, cobrava uma taxa inicial de $1.500 e uma taxa recorrente de $500, e foram apreendidos 50 sites e mais de 150 domínios ligados à operação.
Porque é importante
Este caso é uma das demonstrações mais claras e recentes de como a forense on-chain pode transformar um crime desenhado para preservar a privacidade num crime localizável. Os EvilTokens branqueavam as receitas das subscrições por quatro endereços Tron, mas cada depósito deixava um registo permanente que a Coinbase podia seguir até aos operadores e em direção aos destinos de levantamento. Esse mesmo rasto tem sido historicamente invisível nos sistemas bancários fiat, onde os registos sujeitos a mandatos judiciais ficam, muitas vezes, semanas atrás do dinheiro. A operação expôs também uma vulnerabilidade estrutural no fluxo de autenticação por device-code da Microsoft, desenhado para smart TVs e equipamentos de conferência que não suportam facilmente os inícios de sessão normais por browser. Os atacantes iniciavam o pedido e, em seguida, enganavam as vítimas para o aprovarem através de emails de phishing disfarçados de faturas e ficheiros partilhados.
Impacto no mercado
Para o mundo cripto, a operação soma-se a um conjunto crescente de provas de que as equipas de inteligência das exchanges conseguem produzir provas com qualidade judicial em poucos meses. A Coinbase disse que o seu material contribuiu para a ação cível da Microsoft e para as detenções pela Polícia Metropolitana de Londres, em 11 de setembro, com dois homens posteriormente libertados sob caução condicional. A exchange identificou também compradores dos EvilTokens ativos na sua própria plataforma e encaminhou-os para as autoridades. A Microsoft alertou, contudo, que a remoção da infraestrutura atual não elimina o método, e que os operadores já tinham dado sinais de planos para estender o kit de ferramentas a contas Gmail e Okta.
Perguntas frequentes
-
Como é que os EvilTokens comprometeram efetivamente as caixas de correio da Microsoft?
Os atacantes iniciavam eles próprios os pedidos de autenticação por device-code da Microsoft e, em seguida, enganavam as vítimas para os aprovarem no site legítimo da Microsoft através de emails de phishing disfarçados de faturas, ficheiros partilhados e outras comunicações empresariais de rotina.
-
O que é a autenticação por device-code e porque está a ser abusada?
É um fluxo legítimo de início de sessão da Microsoft, desenhado para hardware como smart TVs e equipamentos de conferência que não suportam facilmente inícios de sessão por browser. Os atacantes abusam dele ao iniciarem o pedido e ao enganarem as vítimas para o aprovarem no site legítimo da Microsoft.
-
Quanto é que os EvilTokens ganharam e como foi o dinheiro rastreado?
A Coinbase rastreou cerca de $1.1 milhão de receitas da plataforma em quatro endereços Tron entre outubro de 2025 e junho de 2026, identificando mais de 1 000 depósitos de mais de 700 carteiras distintas e mapeando os fluxos até aos destinos finais de levantamento.
-
Quem foi detido na operação contra os EvilTokens?
A polícia britânica deteve dois homens em 11 de setembro por suspeitas de crimes ligados à alegada operação. Ambos foram posteriormente libertados sob caução condicional, a aguardar investigação adicional.
-
O que recomenda a Microsoft para se proteger contra este método de ataque?
A Microsoft recomenda o bloqueio da autenticação por device-code onde esta não é necessária e uma restrição apertada onde é operacionalmente exigida. Em caso de suspeita de comprometimento, aconselha revogar refresh tokens, forçar a reautenticação e, em alguns casos, desativar temporariamente a conta.
CoinDesk
CoinTelegraph
WatcherGuru
Crypto News
Lookonchain