A ORO sofre um ataque de hackers norte-coreanos da organização Sapphire Sleet, com prejuízo de US$ 630 mil em criptomoedas

O agente de compras com IA ORO divulgou no dia 21 de julho no X que sofreu um ataque cibernético supostamente realizado por hackers norte-coreanos. Em 13 de julho, a empresa perdeu 147 mil unidades do token Alpha, no valor de cerca de US$ 630 mil. Os atacantes invadiram contas oficiais do Telegram de contatos legítimos dos funcionários da ORO e enviaram links falsificados de reuniões, levando os colaboradores a instalar um programa malicioso de extensão, o qual coletou dados por quase um mês antes de ocorrer o roubo.

Métodos do ataque: link falsificado do Microsoft Teams, extensão maliciosa e coleta de dados por quase um mês

Com base no relatório de análise pós-incidente publicado pela ORO, a cadeia completa do ataque foi a seguinte:

Fevereiro de 2025: funcionários da ORO conheceram um contato em uma conferência do setor; as duas partes estabeleceram uma relação normal de comunicação no Telegram

Maio de 2026: uma conta do Telegram, supostamente invadida por hackers, entrou em contato proativamente com funcionários da ORO, convidando para uma chamada de vídeo

Maio a julho de 2026: funcionários da ORO tentaram entrar na chamada usando um link que imitava o Microsoft Teams, mas sem áudio; após a chamada, o computador exibiu a mensagem “atualizar o Microsoft Teams”; após aceitarem, eles instalaram uma extensão maliciosa; a extensão rastreava a digitação do teclado, o histórico da área de transferência, fazia captura de telas e também conseguia adulterar endereços de carteira cripto; o atacante silenciosamente coletou dados por quase um mês antes de roubar

13 de julho de 2026: o atacante roubou 147 mil tokens Alpha (cerca de US$ 630 mil) da carteira cripto da ORO

A ORO reconhece falhas de segurança: suporte insuficiente ao hardware da carteira Bittensor levou ao roubo de chaves da carteira de software

Em seu comunicado, a ORO reconheceu que, para se adaptar ao problema de “amplo suporte insuficiente” ao hardware da carteira para o protocolo Bittensor, a empresa “temporariamente” definiu as chaves do proprietário como carteira de software, em vez de seguir o princípio interno de segurança que prioriza carteiras de hardware.

O texto do comunicado afirma: “Foi exatamente por isso que os dados puderam ser roubados de uma máquina invadida. Isso é imperdoável, e foi um erro nosso.” A ORO ressalta que a chave privada de assinatura do validador na carteira de hardware “nunca vazou” e que a rede de subrede operou normalmente; outras carteiras e dados dos usuários não foram afetados.

Atribuição do ataque por trás da Sapphire Sleet: evidências de IP, payload e sobreposição com infraestrutura registrada na inteligência de ameaças da Microsoft

A ORO disse que, com base em três indicadores técnicos com “alta confiança”, o ataque foi realizado por uma organização de hackers apoiada pelo Estado norte-coreano chamada Sapphire Sleet: endereços IP apontados pelos beacons enviados a partir das máquinas invadidas, payload malicioso correspondente e sobreposição de infraestrutura com registros anteriores da inteligência de ameaças da Microsoft.

Um relatório de inteligência de ameaças da Microsoft aponta que a Sapphire Sleet é especializada em ataques de engenharia social usando o tema do Teams, com foco em alvos no macOS, e induz usuários a executar manualmente arquivos maliciosos ao se passar por atualizações de software, contornando mecanismos de segurança integrados do macOS.

Perguntas frequentes

O caso de roubo dos tokens Alpha da ORO afetou os ativos de outros usuários?

De acordo com o comunicado oficial da ORO, este ataque afetou apenas carteiras de software específicas da empresa (devido à configuração temporária que não usou a carteira de hardware); outras carteiras, dados dos usuários, dados da subrede e as chaves de assinatura do validador na carteira de hardware não foram afetados; a ORO afirmou que sua subrede atualmente está funcionando perfeitamente.

Por que a ORO acredita que este ataque veio da Sapphire Sleet?

No relatório de análise pós-incidente, a ORO afirmou que, com base no endereço IP do beacon emitido pelas máquinas invadidas, no payload malicioso correspondente e na sobreposição da infraestrutura com registros anteriores da inteligência de ameaças da Microsoft, a empresa tem “alta confiança” de que o atacante é um membro da Sapphire Sleet; a Sapphire Sleet é uma organização de hackers apoiada pelo Estado norte-coreano.

No caso do ataque à ORO, qual foi a responsabilidade de segurança da própria ORO?

A ORO reconheceu que, devido ao suporte insuficiente ao hardware da carteira pelo protocolo Bittensor, a empresa “temporariamente” violou princípios internos de segurança, definindo as chaves do proprietário como carteira de software em vez de carteira de hardware, o que levou ao roubo das chaves após a invasão do computador; a ORO afirmou em seu comunicado que isso foi um “erro imperdoável” e pediu desculpas formalmente.