A plataforma de mídia social X está preparando uma nova medida de segurança destinada a eliminar uma forma generalizada de phishing em criptomoedas que utiliza contas sequestradas para promover tokens fraudulentos.
A empresa irá em breve bloquear automaticamente qualquer conta que mencione criptomoedas pela primeira vez em sua história, de acordo com o Head de Produto da empresa, Nikita Bier. Os usuários precisarão passar por uma verificação adicional antes de serem autorizados a postar novamente.
Bier afirmou que o recurso visa o incentivo central por trás desses ataques. “Isso deve eliminar 99% do incentivo,” ele escreveu, referindo-se à atual onda de phishing que engana os usuários para que entreguem suas credenciais, para em seguida utilizar suas contas para promover golpes envolvendo criptomoedas.
A mudança foi revelada em resposta a um relato detalhado em primeira mão de um usuário do X que perdeu o controle de sua conta após cair em um e-mail de phishing disfarçado como uma notificação de violação de direitos autorais.
O atacante, segundo o usuário, utilizou uma página de login falsa com precisão pixel-perfect para coletar códigos de autenticação de dois fatores, em seguida bloqueou o usuário e começou a promover projetos cripto fraudulentos a partir da conta deste.
Golpes de criptomoedas na X
Esses tipos de ataques têm sido extremamente comuns no X, um legado de quando a plataforma ainda era chamada Twitter, antes de ser adquirida por Elon Musk.
Uma das táticas mais comuns é o golpe do “dobre seu dinheiro”, no qual os usuários são instruídos a enviar criptomoedas em troca da promessa de receber uma quantia maior. Outros promovem memecoins falsos ou airdrops fraudulentos, frequentemente utilizando contas sequestradas para conferir credibilidade.
A personificação é uma das ferramentas mais poderosas. Contas falsas que se passam por grandes personalidades têm repetidamente enganado seguidores a clicar em links maliciosos que imitam plataformas legítimas de criptomoedas.
As transações com criptomoedas são irreversíveis, portanto, uma vez que um usuário cai nesse tipo de ataque, seus fundos estão perdidos.
O exemplo mais infame ocorreu em 2020, quando hackers acessaram os sistemas internos do Twitter e assumiram o controle de contas importantes, incluindo as da Apple, Barack Obama e Elon Musk.
Eles usaram essas contas para promover um sorteio falso de bitcoin, acumulando mais de US$ 100.000 antes que as publicações fossem removidas. Essa violação, realizada por meio de engenharia social contra funcionários do Twitter, resultou no hacker recebendo uma sentença de 5 anos.
X fez várias tentativas para reforçar a segurança. Essas incluíram purgas de bots, restrições de API e detecção comportamental. A última medida de bloqueio automático de contas que publicam sobre criptomoedas pela primeira vez se baseia nesses esforços, visando cortar a tática pela raiz: tornando contas sequestradas inúteis para golpes.
Bier também criticou o Google por não conseguir impedir e-mails de phishing no nível do e-mail, atribuindo parte da responsabilidade ao gigante da tecnologia por não proteger seus usuários contra ataques de phishing.
