Os US$ 4,06 milhões do alerta de iPhone saíram de 365 carteiras em um mês

Nesta sexta-feira, o perfil Coin Bureau publicou um alerta para usuários de iPhone. Hackers teriam roubado US$ 4,06 milhões depois que uma vítima tocou em um anúncio no Safari e teve as carteiras esvaziadas, com suspeita de uso do kit de exploits DarkSword. O número existe e foi rastreado, mas ele descreve outra coisa. São pelo menos US$ 4,06 milhões em USDT retirados de 365 carteiras na rede TRON entre 5 de outubro e 4 de novembro, segundo a investigação publicada pela Bitquery.

A mensagem do perfil resume o caso como um clique seguido de roubo. O mecanismo descrito ali está correto e é a parte mais útil do aviso. São falhas do iOS encadeadas, sem pedido de conexão de carteira nem assinatura de transação, e o trabalho do kit é ler o que está guardado no aparelho.

O DarkSword foi documentado em março deste ano pela Lookout em conjunto com o Google e a iVerify, em iPhones que rodavam versões entre 18.4 e 18.6.2. O conjunto copia credenciais, fotos e dados de carteiras em poucos minutos, apagando o rastro antes de sumir. Nesta sexta-feira, a CertiK descreveu uma versão mais nova do kit, com alcance até a 18.7. A Apple publicou a correção em 24 de março, na atualização 18.7.7, e a nota oficial cita o DarkSword pelo nome. Um iPhone que ficou para trás nessas atualizações continua exposto.

De onde vem o número

A Bitquery seguiu o dinheiro a partir de uma carteira que pagava as taxas de rede. Ela financiou 43 endereços coletores, que existiam por um ou dois dias cada, recebiam o saldo inteiro das vítimas e paravam. Foram 365 carteiras esvaziadas na TRON, com pelo menos US$ 4,06 milhões em USDT e 137.688 TRX levados junto. O mesmo grupo ainda esvaziou 65 carteiras em outras oito redes, com pelo menos US$ 103 mil.

Esse total é um piso, e a própria investigação explica por quê. A contagem só inclui pagamentos que levaram o saldo inteiro de uma carteira, e só os coletores com ligação financeira direta com a carteira de taxas. O relatório original da vítima, publicado em um site de marketing de afiliados, traz números maiores, com 361 carteiras e US$ 7,88 milhões distribuídos entre 66 coletores.

A distribuição dos prejuízos muda a leitura do alerta. Metade das carteiras que perderam USDT perdeu menos de US$ 1.029. As que perderam abaixo de US$ 1 mil são 48% das vítimas e 1% do dinheiro. Oito endereços com perdas acima de US$ 100 mil respondem por 63% do total. O maior caso isolado levou US$ 693 mil, e o pior dia foi 25 de outubro, quando duas vítimas perderam US$ 1,21 milhão entre elas.

O único caso ligado a um iPhone

Em 15 de outubro, uma carteira mandou 16.428 USDT para um endereço desconhecido. Era o saldo inteiro. Doze segundos depois, as últimas frações em TRX foram pelo mesmo caminho. O dono contou o caso em um relato publicado depois, dizendo que abriu um vídeo no Safari, tocou em um anúncio e foi levado a outra página. Duas outras carteiras do mesmo aparelho foram esvaziadas na mesma ocasião.

O relato não traz endereços. A Bitquery conseguiu casar o caso com a rede porque os horários e os valores batem ao segundo, incluindo o que sobrou na carteira depois da saída. É o único episódio da investigação que pode ser ligado a um iPhone, e isso vale pelo motivo inverso. A rede mostra o dinheiro saindo e não diz qual aparelho estava na mão.

Daí a ressalva que a investigação faz questão de registrar. Não é possível dizer qual aplicativo estava instalado nas outras 364 carteiras. A acusação de que usuários da Trust Wallet teriam perdido US$ 1,1 milhão circulou no X sem endereços e não pode ser confirmada nem descartada. Na semana até 3 de novembro, a aliança de segurança SEAL registrou seis roubos em iPhones, somando cerca de US$ 127 mil.

Por que carteiras antigas caíram

Quase metade das carteiras esvaziadas, 46%, guardava dinheiro havia mais de um ano. Outras 87% tinham mais de um mês de uso, e 78% já haviam pago outros endereços, o que afasta a hipótese de carteiras descartáveis criadas para o golpe. Apenas 34 das carteiras afetadas movimentaram dinheiro depois do roubo.

O motivo é a frase de recuperação. Quem tem as 12 ou 24 palavras abre a carteira em qualquer aparelho, sem senha e sem o celular da vítima. Uma frase guardada em foto, nota ou backup na nuvem fica ao alcance de um kit que lê o conteúdo do telefone. O caso é parecido com o do malware que varria fotos em busca dessas frases, descrito nesta reportagem em julho.

O sinal que aparece segundos antes

Na TRON, mover USDT custa taxa paga em TRX, e muita gente tem dólares na carteira e quase nada de TRX. O ladrão com a frase em mãos precisa desse combustível. Por isso a carteira de taxas manda alguns TRX para o endereço da vítima e, segundos depois, o saldo inteiro sai. Em um dos casos, o envio de 18 TRX veio 18 segundos antes de 519.093 USDT deixarem a carteira. Uma transferência pequena de TRX de um endereço desconhecido, seguida de saldo intacto, é o aviso para mover o dinheiro na hora.

A carteira que pagava as taxas também precisou de dinheiro. Duas retiradas de exchange entraram nela em 18 de outubro, uma da Bybit, de 571 USDT, e outra da HitBTC, de 485 USDT. São saques de clientes, o que significa que as duas corretoras têm o registro de quem os fez.

Para quem usa iPhone, a correção está nas atualizações 18.7.7 e 26.3. Manter a frase de recuperação fora do telefone, sem foto, nota ou backup, tira do kit o que ele foi feito para encontrar. Quem foi esvaziado deve procurar a Tether e a exchange que recebeu o dinheiro, porque o USDT pode ser congelado, e desconfiar de quem cobra para recuperar o valor.

Nesta sexta-feira o alerta tratou os US$ 4,06 milhões como um roubo único. O rastreamento mostra um mês de saques, 43 endereços de coleta e um piso que a própria investigação reconhece como incompleto.