Segundo a CoinMarketCap, as empresas de segurança blockchain Blockaid e PeckShield informaram que, em 19 de setembro, um mesmo atacante mirou dois projetos cripto ligados a IA: Fetch.ai e NuNet. Somados, os episódios envolveram cerca de US$ 2 milhões no momento dos ataques e provocaram forte queda nos tokens. No caso da Fetch.ai, a Blockaid aponta que o invasor retirou aproximadamente 8,7 milhões de FET de um contrato de swap de tokens, valorados em cerca de US$ 1,53 milhão. Pesquisadores de segurança dizem que a carteira que recebeu esses recursos apareceu posteriormente no incidente da NuNet, o que sustenta a atribuição a um único agente. A Blockaid também divulgou publicamente os endereços de carteira usados no ataque e um exemplo de transação para ajudar projetos e corretoras a identificar e tentar interceptar movimentações relacionadas. Na NuNet, o problema envolveu a criação anômala de tokens: cerca de 408,5 milhões de NTX foram cunhados sem autorização por meio da conta de deployer do projeto, com valor estimado em aproximadamente US$ 463 mil com base no preço citado no relatório. De acordo com os pesquisadores, esses NTX foram enviados para a mesma carteira que recebeu os FET desviados. Para as equipes de segurança, o padrão sugere fragilidades em controles de permissões de contrato ou na gestão de contas-chave. Quando permissões de deploy ou mecanismos de upgrade são explorados, o atacante pode não apenas transferir ativos existentes, mas também emitir novo suprimento de tokens. Após os ataques, o invasor converteu rapidamente parte relevante dos valores em 546 ETH, avaliados em torno de US$ 1,44 milhão, movimento que costuma dificultar rastreamento e eventuais tentativas de congelamento. Com a repercussão, o NTX caiu cerca de 65% a 70%, enquanto o FET recuou aproximadamente 10%. Até o momento da publicação, Fetch.ai e NuNet não haviam divulgado posicionamento oficial. Resumo dos números: FET transferidos: aproximadamente 8,7 milhões; NTX cunhados sem autorização: aproximadamente 408,5 milhões; atacante recebeu: 546 ETH. O relatório acrescenta que agências de segurança veem o caso como um alerta recorrente em projetos cripto de IA e computação: se a conta de deployer ou um contrato de conversão de tokens for comprometido, as perdas podem se espalhar em cascata para múltiplos projetos.

Segundo a Huo Xing Cai Jing, em 20 de setembro, a Strategy informou que a ação MSTR avançou cerca de 48% no último mês, registrando o maior desempenho entre os componentes do índice Nasdaq 100. No mesmo período, a Meta subiu 21,9%, a AMD ganhou 20%, a CrowdStrike avançou 17,9% e a Intel teve alta de 17%, ocupando da segunda à quinta posição, respectivamente.

O CISO da SlowMist, 23pds, publicou em 19 de setembro um alerta urgente pedindo que usuários de iPhone atualizem o sistema imediatamente. Segundo o pesquisador, invasores já colocaram em operação um exploit "fullchain" no iOS capaz de extrair de forma silenciosa chaves privadas e frases-semente (mnemonic) de carteiras de criptomoedas. A informação foi divulgada em uma postagem no X e, até o momento, abrange aparelhos com iOS 13 até iOS 26.5, o que representa risco elevado para ativos mantidos em autocustódia em carteiras móveis. Como o ataque funciona O vetor inicial ocorre quando a vítima acessa uma página maliciosa no Safari, normalmente por meio de engenharia social ou links do tipo "watering hole". A página explora uma falha de corrupção de memória no WebKit e no JavaScriptCore para obter capacidade de leitura e escrita arbitrária na camada de JavaScript. Em seguida, a cadeia contorna os Pointer Authentication Codes, executa código nativo, escapa do sandbox do WebContent e eleva privilégios até root em nível de kernel. Com esse acesso, o invasor consegue ler o Keychain do dispositivo e coletar dados de aplicativos de carteira, incluindo chaves privadas e frases de recuperação. Diferentemente de páginas de phishing tradicionais, que dependem de o usuário digitar a frase-semente, esse método exige apenas o clique e a visita ao link — o que aumenta a criticidade do alerta. Quem pode ser afetado De acordo com 23pds, o intervalo afetado vai do iOS 13 ao iOS 26.5, com a ressalva de que o limite superior ainda aguarda confirmação final. Como a extração é feita diretamente do dispositivo, uma carteira comprometida não pode ser "recuperada" por redefinição de senha: quem obtiver as chaves consegue movimentar os fundos. O risco é maior para usuários de autocustódia, já que o roubo em nível de chave não oferece mecanismo de recuperação do lado de corretoras. O aviso surge em meio ao aumento de ameaças móveis e ligadas a lojas de aplicativos contra investidores de varejo em criptoativos. Um caso recente envolveu acusações de que a Apple manteve no ar uma carteira falsa de Bitcoin na App Store mesmo após a denúncia de um roubo de US$ 875.000. O que fazer A recomendação da SlowMist é direta: atualizar o iOS para a versão mais recente, evitar abrir links não solicitados no Safari e, para quem manteve uma hot wallet em um dispositivo potencialmente vulnerável, gerar novas chaves em um aparelho limpo e atualizado e transferir os fundos. Até a publicação deste texto, a SlowMist ainda não havia divulgado um comunicado técnico mais detalhado, e a postagem do pesquisador segue como a principal fonte pública do alerta.

O percentual de investidores pessoa física nos EUA com visão baixista para ações avançou para 53%, e instituições veem o movimento como um sinal contrarian próximo de uma possível área de repique. Segundo a GoldNews, com a recuperação dos preços do petróleo e a alta dos rendimentos dos Treasuries, o humor do varejo em relação às ações americanas virou de forma mais intensa para o lado negativo. A pesquisa semanal mais recente da American Association of Individual Investors (AAII) indica que cerca de 53% dos entrevistados esperam um desempenho fraco das ações dos EUA nos próximos seis meses — alta de aproximadamente 14 pontos percentuais em relação à semana anterior e o maior nível desde maio de 2025. A fatia de investidores otimistas, por sua vez, caiu para abaixo de 29%, recuo de cerca de 10 pontos percentuais em apenas uma semana e o menor patamar em aproximadamente um ano.

Segundo o Gold财经, em 20 de setembro, Yu Xian, fundador da SlowMist, publicou no X um alerta sobre um caso de "poisoning" e roubo de criptoativos envolvendo o aplicativo ComeCome (Bai Tuo Bai Tuo), apresentado como um app de entrega de comida. Apesar de aparentar legitimidade, o app operaria de forma clandestina para subtrair ativos cripto em iPhones, usando uma técnica de envenenamento semelhante à já exposta anteriormente no aplicativo FomoPeek. Yu Xian recomendou que usuários de iOS atualizem imediatamente para a versão mais recente do sistema. Ele acrescentou que usuários de iPad e Mac também podem estar sujeitos ao mesmo tipo de risco e devem redobrar a atenção.

Segundo a Huo Xing Cai Jing, Yu Xian, fundador da SlowMist, afirmou que, após o recente caso de envenenamento do aplicativo FomoPeek e roubo de ativos, outro app chamado ComeCome (comecome.icu), que se apresenta como serviço de entrega de comida, foi identificado usando uma abordagem de ataque semelhante. As versões v1.1–1.2 do FomoPeek teriam incorporado um SDK malicioso com oito técnicas de exploração do kernel do iOS, capaz de escolher automaticamente o vetor de ataque de acordo com o modelo do aparelho e a versão do sistema. As versões do iOS afetadas conhecidas vão de iOS 12–18.7 e 26–26.1. Quando a exploração é bem-sucedida, o ataque contorna o mecanismo de sandbox do iOS e passa a roubar ativos de carteiras de criptomoedas. Yu Xian alertou que o risco pode alcançar também iPads e Macs e recomendou que os usuários atualizem imediatamente para a versão mais recente do iOS e evitem instalar aplicativos de fontes não confiáveis.

Monitoramento da PeckShield aponta que, em 20 de setembro (UTC+8), o hacker já associado aos ataques contra Fetch.ai e NuNet explorou uma vulnerabilidade no SingularityNET para cunhar, sem autorização, 260 milhões de AGIX e 53,838 milhões de WMTX na rede Ethereum. O atacante mantém atualmente criptoativos avaliados em cerca de US$ 16,77 milhões, incluindo 198,3 milhões de AGIX (aproximadamente US$ 14,42 milhões), 649 ETH (cerca de US$ 1,67 milhão) e 33,538 milhões de WMTX (em torno de US$ 627,4 mil). (Fonte: BlockBeats)

A SpaceX anunciou a construção de um grande complexo de lançamentos na Louisiana, em uma área de 125 mil acres, com a meta de realizar cerca de 30 lançamentos de foguetes por dia. O governo estadual afirma que o acordo pode atrair US$ 100 bilhões em investimentos e gerar aproximadamente 10 mil empregos. Registros de desenvolvimento econômico indicam que a SpaceX pagará em torno de US$ 25 milhões por ano à região em troca de isenções de imposto predial que somariam bilhões de dólares ao longo de 25 anos. O local fica a cerca de 45 minutos de carro de Abbeville.

Em 18 de setembro, a Agência Nacional de Polícia do Japão (NPA) e o Federal Bureau of Investigation (FBI), entre outros órgãos, divulgaram em conjunto detalhes sobre o grupo hacker norte-coreano WaterPlum, também conhecido como "Contagious Interview". Segundo as autoridades, a operação vem se passando há anos por recrutadores ou empresas de criptomoedas para induzir desenvolvedores a executar código malicioso sob o pretexto de testes de programação e colaboração em projetos. De dezembro de 2025 a julho de 2026, o grupo teria infectado mais de 30.000 dispositivos em mais de 100 países. As investigações apontam roubo de fundos ou credenciais de acesso de mais de 7.000 carteiras de criptomoedas, com perdas de pelo menos US$ 10,71 milhões em ativos digitais. Diferentemente de campanhas anteriores focadas em corretoras e grandes instituições, o WaterPlum ampliou o alvo para desenvolvedores individuais, freelancers e profissionais de Web3. As autoridades alertam que o impacto vai além do roubo direto de carteiras: com computadores e dados de identidade comprometidos, o grupo pode acessar sistemas das empresas das vítimas, abrindo caminho para furtos de segredos comerciais, extorsão e até o uso da identidade do profissional em novas candidaturas de emprego. "Vaga com alto salário" como porta de entrada O vetor mais comum não é e-mail de phishing, mas uma oportunidade de trabalho aparentemente legítima. Os atacantes se passam por empresas de IA, cripto ou NFT e abordam desenvolvedores por redes sociais, sites de vagas, plataformas de bicos e marketplaces de freelancers. Após o primeiro contato, costumam agendar entrevista por vídeo ou solicitar um teste técnico. A infecção ocorre na etapa de "avaliação técnica". O candidato recebe um repositório de código e é orientado a executar o projeto localmente, corrigir bugs ou até resolver supostos problemas de software de videoconferência. Os projetos parecem comuns (JavaScript, Python ou VS Code), mas contêm código malicioso embutido. O WaterPlum recorre com frequência a pacotes do NPM (gerenciador de pacotes do Node.js) contaminados, associados a diferentes famílias de malware, como BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Em alguns casos, o ataque explora o arquivo de configuração .vscode/tasks.json para executar código automaticamente quando o usuário abre e "confia" na pasta do VS Code. Para a vítima, tudo pode se resumir a baixar o projeto, abri-lo e rodar o programa conforme instruções do "entrevistador", enquanto o malware se instala em segundo plano. Após o acesso inicial, os invasores instalam trojans de acesso remoto para manter controle prolongado do dispositivo e programas ladrões de informação para coletar dados. Entre os principais alvos estão: - contas e senhas salvas no navegador; - conteúdo da área de transferência, registro de teclas e capturas de tela; - chaves privadas, frases de recuperação e dados relacionados a carteiras cripto; - arquivos do computador e pastas compartilhadas; - imagens de documentos, como carteira de motorista e passaporte. Essas informações são enviadas a um servidor controlado pelos atacantes. Mesmo sem saldo no momento, o comprometimento de chave privada ou frase mnemônica permite monitoramento de longo prazo e desvio de recursos assim que novos valores chegarem ao endereço. Comprometimento do dispositivo pode virar incidente corporativo O risco se amplia porque desenvolvedores geralmente têm acesso a repositórios de código, serviços em nuvem e sistemas internos. O WaterPlum pode explorar credenciais e permissões já existentes no equipamento para entrar em sistemas de empregadores, clientes ou parceiros, roubar informações confidenciais, se movimentar dentro da rede e usar dados sensíveis para extorsão. "Hubs" de trabalho remoto em residências no exterior A NPA e o FBI afirmam que documentos roubados (carteira de motorista, passaporte e outros) também alimentam outro esquema: seriam repassados a profissionais de TI norte-coreanos que se passam pelas vítimas para buscar vagas no exterior e gerar receita em moeda forte. As autoridades apontam sobreposição de pessoas e infraestrutura entre o WaterPlum (que distribui malware por falsas vagas) e esses profissionais (que se apresentam como desenvolvedores baseados fora da Coreia do Norte). Os órgãos concluem que integrantes do WaterPlum e determinados profissionais de TI norte-coreanos têm ligação com o Bureau 313 do Departamento da Indústria Militar, sob o Comitê Central do Partido dos Trabalhadores da Coreia. Para driblar checagens de identidade e localização, esses profissionais trabalham com intermediários no exterior que instalam computadores em residências locais, fornecem informações de identidade e recebem salários em seu nome. O trabalho, na prática, é realizado remotamente por pessoas na Coreia do Norte, na Rússia e em outras regiões. Esse arranjo cria "hubs" que mascaram a localização e a identidade reais do operador. Nesse modelo, o profissional acessa sistemas corporativos usando computadores e redes locais no Japão ou nos EUA, levando a empresa a acreditar que ele está fisicamente no país. Os intermediários também recebem equipamentos corporativos, fornecem documentos e contas bancárias e depois remetem os valores aos verdadeiros trabalhadores. Segundo a NPA, é a primeira vez que autoridades japonesas identificam uma estrutura desse tipo dentro do Japão. A investigação aponta que os envolvidos não apenas ajudaram a ocultar identidades e obter emprego, como também enviaram ao exterior dezenas de milhões de ienes, incluindo ativos em criptomoedas. O comunicado alerta que empresas ou indivíduos que contratem, façam pagamentos a profissionais de TI norte-coreanos ou os auxiliem com identidade, contas bancárias ou dispositivos de acesso remoto podem violar leis locais e descumprir sanções contra a Coreia do Norte. As autoridades citam riscos adicionais: um trabalhador de TI norte-coreano extorquiu o empregador após disputa salarial e divulgou publicamente código-fonte proprietário; em outro caso, um contratado para manutenção do site alterou o ambiente de forma maliciosa, deixando a página fora do ar. Currículo falsificado para vaga em exchange japonesa Empresas de criptomoedas estão entre os setores prioritários para esses profissionais. Em maio de 2025, uma exchange japonesa recebeu candidatura para uma vaga de engenharia de um candidato suspeito, que acessou o anúncio via VPN e enviou currículo falsificado. O documento parecia "perfeito": alegava domínio de diversas linguagens, tecnologias de blockchain, sistemas de criptomoedas e serviços de nuvem, com mais de dez competências e experiências relacionadas em cada categoria. O histórico pessoal mencionava estudos em universidades europeias e passagens profissionais por várias cidades da Europa e da Ásia em curto período. Na entrevista por vídeo, o candidato disse ter nascido na Malásia e morar na Finlândia, com malaio e chinês como línguas nativas. Ainda assim, a fluência em inglês não condizia com o histórico informado: respondeu apenas perguntas básicas e não conseguiu explicar em detalhe a maior parte das competências técnicas listadas. O aviso também resume sinais recorrentes observados em entrevistas com outros suspeitos: recusa a encontros presenciais, exigência de pagamento em criptomoedas, olhares frequentes para outra tela, vozes de terceiros ao fundo e travamentos constantes de áudio ou vídeo. O hábito de olhar para outra tela pode indicar leitura de respostas fornecidas por outra pessoa; mesmo com apenas um candidato no vídeo, várias pessoas podem estar colaborando nos bastidores para sustentar as alegações do currículo. Se houver infecção, apenas remover o malware pode não bastar As autoridades e instituições internacionais reforçam que eliminar o malware não garante que o dispositivo ou a carteira permaneçam seguros. Chaves privadas, frases-semente e credenciais do navegador podem já ter sido capturadas, com o invasor aguardando o momento ideal para agir. Também pode haver backdoor persistente. A recomendação é não executar diretamente código enviado por desconhecidos em máquinas que armazenem criptoativos ou lidem com dados sensíveis. Se o teste for inevitável, use sandbox ou máquina virtual isolada do ambiente diário e inspecione o projeto em busca de trechos ofuscados, ilegíveis ou que baixem conteúdo automaticamente. Atenção redobrada a scripts com comandos como curl, base64, mshta, InvokeWebRequest e similares, usados para baixar, codificar ou ocultar execução: não rode sem entender plenamente a finalidade. Se o antivírus indicar infecção, ou se você executou programas fornecidos por um suposto empregador suspeito, desconecte imediatamente o dispositivo da rede. Mesmo que o malware seja removido depois, trate a carteira como comprometida: crie uma nova carteira em um dispositivo separado e seguro, transfira todos os ativos e guarde a nova frase mnemônica offline. Como pode haver backdoors ainda desconhecidos, a medida mais segura é fazer backup do essencial e reinstalar completamente ou redefinir o sistema operacional, em vez de continuar usando o ambiente atual.