SparkKitty escaneia fotos do celular para roubar seed phrases de carteiras crypto

Uma família de malwares batizada de SparkKitty está mirando usuários de criptomoedas diretamente na galeria de fotos do celular. Identificado pela Check Point em um relatório divulgado neste domingo, o software malicioso funciona tanto no iOS quanto no Android e não depende de truques convencionais como capturar teclas ou monitorar a área de transferência.

Em vez disso, ele usa reconhecimento óptico de caracteres para ler textos dentro de imagens armazenadas no dispositivo.

Como o SparkKitty age nas fotos do celular

A técnica é simples na descrição e perigosa na prática. Depois que o usuário instala um aplicativo infectado e concede permissão de acesso à galeria, o malware passa a escanear arquivos existentes e monitorar novas imagens que chegam ao aparelho.

O alvo principal são capturas de tela que contenham seed phrases de carteiras crypto, aquelas sequências de palavras que funcionam como chave mestra da conta e dão acesso total aos fundos armazenados.

Qualquer um que tenha acesso a uma seed phrase consegue transferir todo o saldo da carteira em minutos, sem precisar de senha adicional ou confirmação do dono original.

Segundo a Check Point, o SparkKitty é uma evolução direta do SparkCat, um ladrão baseado em OCR que a Kaspersky documentou em 2025 e que também extraía dados de capturas de tela de dispositivos infectados.

Distribuição nas lojas oficiais e além

A distribuição do malware acontece por múltiplos canais e plataformas diferentes. No iOS, a carga maliciosa foi encontrada dentro de um aplicativo chamado “币coin”, disponível na App Store e disfarçado de ferramenta de cotação de criptomoedas.

A funcionalidade maliciosa vinha escondida em frameworks ofuscados, incluindo o AFNetworking e o libswiftDarwin.dylib, que passaram pela revisão da Apple sem levantar suspeitas imediatas. Ainda não está claro se a conta de desenvolvedor foi comprometida por terceiros ou se o dono estava ciente do que o aplicativo fazia.

No Android, os pesquisadores identificaram o SparkKitty dentro de um aplicativo chamado “SOEX”, que se apresentava como plataforma de mensagens e exchange de criptomoedas. O app acumulou mais de 10 mil downloads no Google Play antes de ser removido pela loja.

Variantes adicionais do malware foram distribuídas por lojas de aplicativos de terceiros, APKs baixados fora das lojas oficiais, versões modificadas do TikTok e aplicativos de apostas. Em dispositivos com acesso root, algumas amostras usavam módulos do Xposed framework para manter a persistência mesmo depois de reinicializações do sistema.

O texto extraído das imagens, incluindo seed phrases, senhas e dados de QR codes, é transmitido para servidores controlados pelos atacantes junto com informações básicas do dispositivo, como modelo e versão do sistema operacional.

Como se proteger do malware

A Check Point destaca que os usuários que mantêm seed phrases de recuperação como capturas de tela ou fotografias na galeria são os mais expostos. A posse da seed phrase permite acesso completo à carteira, sem possibilidade de redefinição como acontece com senhas de serviços convencionais.

O relatório recomenda evitar completamente capturas de tela de seed phrases, restringir permissões de acesso à galeria apenas aos aplicativos que realmente precisam dela, baixar software apenas de fontes confiáveis e revisar as permissões concedidas regularmente.

Também sugere armazenar as frases de recuperação offline, em papel ou em soluções de backup fornecidas por hardware wallets, em vez de mantê-las na galeria de fotos do dispositivo. Uma seed phrase exposta é um risco que nenhuma configuração de segurança digital consegue reverter depois que os fundos são transferidos.