A HP Wolf Security descobriu um falso assistente de trading cripto com IA que distribuía o Needle Stealer através de um ficheiro ZIP malicioso e substituía sete extensões de carteiras de browsers em computadores Windows infetados. A campanha usou manipulação dos resultados dos motores de pesquisa e anúncios pagos para promover tradingclaw[.]pro. A atividade foi descrita no relatório de ameaças da HP de setembro, com base em ameaças observadas entre abril e junho de 2026.
Porque é importante
O instalador usou um executável legítimo e assinado digitalmente da Microsoft, o OLEView, para ajudar a contornar o SmartScreen, enquanto uma DLL maliciosa carregava o stealer através de process hollowing. O Needle Stealer procurava os IDs de extensões Chromium da Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask e Tonkeeper.
Depois de encontrar um alvo, o malware encerrava o browser e inseria uma extensão falsificada na pasta existente. A substituição ligava-se a uma infraestrutura controlada pelos atacantes, carregava domínios de reserva e apresentava ecrãs de início de sessão realistas, concebidos para capturar credenciais. A HP afirmou que a operação começava com um endpoint comprometido, e não com uma intrusão na Coinbase, na MetaMask ou nas suas extensões oficiais.
Impacto no mercado
A campanha cria um risco de segurança direto para os utilizadores que descarregam ferramentas de trading com IA não verificadas, sobretudo quando os anúncios de pesquisa fazem um instalador malicioso parecer legítimo. A Malwarebytes já tinha documentado a campanha TradingClaw e associado o Needle Stealer a outros carregadores de malware, indicando que o falso assistente era uma das vias de distribuição dentro de uma operação mais ampla.
A HP não revelou o número total de vítimas da campanha nem um valor agregado das perdas em cripto. Os utilizadores devem considerar os softwares de carteiras e os assistentes de trading com IA não oficiais como downloads de alto risco, verificar os editores das extensões e evitar introduzir credenciais de carteiras numa interface de substituição num dispositivo comprometido.
Perguntas frequentes
-
Como é que o falso utilitário de trading com IA infetou computadores Windows?
Os atacantes promoveram tradingclaw[.]pro através de manipulação das pesquisas e anúncios pagos. As vítimas descarregavam um ZIP com um executável OLEView de aparência confiável e uma DLL maliciosa que carregava o Needle Stealer.
-
Que extensões de carteiras foram visadas pelo malware?
O Needle Stealer procurava Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask e Tonkeeper.
-
Como é que o malware substituía as extensões de carteiras do browser?
Identificava as extensões Chromium visadas pelos seus IDs de 32 caracteres, encerrava o browser e inseria uma extensão maliciosa na pasta de extensões existente.
-
A Coinbase ou a MetaMask foram oficialmente comprometidas nesta campanha?
Não. A HP descreveu o incidente como um comprometimento de um endpoint Windows infetado, e não como uma intrusão na Coinbase, na MetaMask ou nas suas extensões oficiais.
-
A HP comunicou quanto foi roubado em cripto?
Não. A HP não revelou o número total de vítimas da campanha nem um valor agregado das perdas em cripto.
CoinDesk
CoinTelegraph
WatcherGuru
Crypto News
Lookonchain
WuBlockchain
TheBlock