Aplicativos Falsos do Ledger Live Estão Roubando Criptomoedas

Cibercriminosos estão usando aplicativos falsos do Ledger Live e alertas de phishing para roubar frases de recuperação, lançando malwares que drenam silenciosamente carteiras de criptomoedas em várias plataformas.

Cibercriminosos estão usando versões falsas do Ledger Live — o aplicativo usado para gerenciar criptomoedas nas carteiras Ledger — para roubar frases de recuperação e esvaziar os fundos dos usuários. Moonlock Lab revelou que desde agosto de 2024, pelo menos quatro campanhas ativas de malware têm mirado o Ledger Live com ataques de phishing.

Inicialmente, aplicativos falsos só podiam roubar notas e dados de carteira. Mas hoje, eles enganam os usuários para obterem sua frase-semente de 24 palavras. Uma tática, vista no Atomic macOS Stealer (AMOS), envolve um falso alerta de segurança que pede aos usuários para “verificar” sua frase-semente. Uma vez digitada, é enviada diretamente para os hackers.

A mudança começou com o malware “Odyssey” de um hacker chamado Rodrigo. De acordo com Moonlock, desde março de 2025, Odyssey tem burlado as defesas do Ledger Live com uma página de phishing que insta os usuários a inserir sua frase-semente para corrigir um “erro crítico.”

O método de Rodrigo desencadeou uma reação em cadeia. Outro hacker, @mentalpositive, afirmou que seu malware agora inclui um módulo “anti-Ledger”. No entanto, duas amostras de seu código não mostraram grandes alterações — apenas um novo endereço de servidor e uma alteração de nome de “JENYA” para “SHELLS”.

Enquanto isso, uma nova campanha descoberta pelo Jamf Threat Labs envolveu um instalador Mac indetectável que carrega uma interface falsa do Ledger Live. O ladrão silenciosamente rouba senhas, arquivos e dados de carteira usando uma combinação de Python e AppleScript.

A AMOS também adotou o esquema de phishing do Rodrigo. As vítimas são enganadas para iniciar um arquivo de terminal que contorna as verificações de segurança da Apple, permitindo que o malware seja executado. Se detecta um sistema real, não um virtual, ele envia arquivos e credenciais roubados — incluindo dados da Binance e TonKeeper — para um servidor remoto.

Com mais hackers copiando essa abordagem, os usuários de cripto são aconselhados a evitar inserir frases de recuperação em aplicativos ou pop-ups.