A fabricante de carteiras de hardware Coldcard está lidando com dois incidentes ao mesmo tempo, e o segundo se alimenta do primeiro. Os atacantes primeiro exploraram uma falha na geração de números aleatórios presente em vários modelos e versões de firmware da Coldcard para desviar cerca de 1.367 bitcoins, cerca de 88,6 milhões de dólares, de 4.585 endereços. Em seguida, segundo pesquisadores da Proofpoint, uma campanha de phishing avançou logo atrás, enviando e-mails de [email protected] com o assunto “Auditoria de hardware já disponível”, informando aos destinatários que o incidente real agora exige a verificação do dispositivo por meio de uma auditoria coordenada. O e-mail leva a um site clonado, coldcardcompliance.com, que conduz as vítimas à instalação de uma ferramenta de acesso remoto. As perdas totais ligadas a essa campanha mais ampla de phishing já se aproximam de 130 milhões de dólares. Nenhum dos dois domínios é coldcard.com, e esse detalhe é toda a história.
O Ataque em Termos Simples
A isca funciona porque a premissa é verdadeira. A Coldcard realmente sofreu um incidente de segurança, então um e-mail anunciando uma “auditoria de hardware coordenada” chega a destinatários predispostos a levá-lo a sério em vez de descartá-lo como ruído genérico de phishing. Ao clicar no link da auditoria, a vítima chega a coldcardcompliance.com, um clone convincente do site real, com um botão “Iniciar Auditoria de Hardware” e, notavelmente, um widget de chat ao vivo. A Proofpoint avalia que o chat é operado por pessoas reais, não por um bot, que perguntam às vítimas se usam Windows ou macOS e depois guiam usuários hesitantes a baixar e executar um arquivo em lote hospedado no GitHub. Esse arquivo instala o ScreenConnect, uma ferramenta legítima de acesso remoto usada aqui para entregar aos atacantes uma sessão ativa na máquina da vítima, com tudo o que isso implica em criptomoedas roubadas, dados roubados ou a implantação posterior de ransomware.
Por Que o DMARC Nunca Entra em Jogo
Esse é o detalhe que vale a pena examinar com calma. O DMARC protege um domínio dizendo aos servidores de e-mail receptores o que fazer com mensagens que falham no alinhamento SPF ou DKIM para aquele domínio exato. Ele é específico por domínio por design, e esse design está correto: o fato de coldcard.com aplicar uma política DMARC rigorosa não faz absolutamente nada para impedir e-mails enviados de coldcardteamnews.com, porque se trata de um domínio completamente diferente, um que a Coldcard não possui e sobre o qual não tem autoridade para publicar uma política. Toda verificação de autenticação que um servidor receptor executa nessa mensagem passa limpa, não porque o atacante venceu o DMARC, mas porque o DMARC nunca foi consultado sobre isso. Um proprietário de domínio pode aplicar p=reject perfeitamente e ainda assim ver um domínio parecido enviar phishing convincente e “totalmente autenticado” sob um nome parecido o suficiente para passar por um olhar distraído.
O Ponto Cego Que Isso Expõe
Essa é a mesma lacuna estrutural que já apareceu por trás de campanhas de domínios parecidos contra gerenciadores de senhas e empresas de transporte marítimo em meses anteriores, mas o caso da Coldcard a torna ainda mais aguda, porque os atacantes não precisaram inventar um pretexto. Eles pegaram emprestado um que já era verdadeiro e já circulava nas notícias, exatamente o tipo de isca que sobrevive a treinamentos de conscientização de segurança construídos em torno de “isso parece bom demais para ser verdade?”. Um incidente real seguido de um e-mail de remediação com aparência real é um padrão muito mais difícil de sinalizar do que uma notificação de prêmio não solicitada, e o DMARC, o SPF e o DKIM não têm nada a dizer sobre um domínio que nunca foi deles para proteger, para começo de conversa.
Fechar essa lacuna exige um conjunto diferente de ferramentas: monitorar registros de domínio e logs de transparência de certificados em busca de nomes parecidos com sua marca, observar picos de tráfego para domínios parecidos durante e imediatamente após qualquer incidente real, e tratar comunicações pós-incidente como uma categoria específica de risco elevado, com seu próprio canal de verificação, não apenas um aviso na caixa de entrada.
O Que Isso Significa para o Seu Programa
Registre e monitore variações parecidas com o seu domínio principal, especialmente durante e após qualquer incidente de segurança real. Os atacantes ficam de olho em notícias genuínas para transformá-las em armas, e a janela entre a divulgação de um incidente e uma campanha de phishing sob medida agora é medida em dias, não em semanas.
Configure monitoramento de domínio e de transparência de certificados, não apenas relatórios agregados de DMARC. O DMARC diz quem está enviando e-mails alegando ser exatamente o seu domínio. Ele não diz nada sobre um domínio que apenas se parece com o seu, e essa lacuna é exatamente onde vivem campanhas como essa.
Estabeleça um canal verificado e fora de banda para qualquer comunicação pós-incidente antes de precisar dele. Se os clientes não conseguem confirmar facilmente que uma solicitação de “auditoria” ou “remediação” é genuína sem clicar em um link dentro do próprio e-mail, os atacantes explorarão essa incerteza toda vez que você tiver notícias reais para comunicar.
Trate widgets de chat ao vivo em sites parecidos como um sinal de alerta específico a incluir no treinamento de usuários. Um chat operado que pressiona visitantes hesitantes é um forte indício de uma campanha direcionada e bem financiada, não de um golpe em massa, e merece menção específica junto com os alertas genéricos de phishing.
A Conclusão
O DMARC não falhou aqui, porque nunca esteve na disputa. O domínio de phishing ficou totalmente fora do alcance do que a política de coldcard.com poderia cobrir, e é exatamente por isso que a autenticação de domínio precisa ser combinada com monitoramento ativo dos domínios parecidos que ficam logo fora de sua fronteira. O perímetro real de confiança de uma marca é maior do que aquele que o DMARC sozinho consegue impor, e os atacantes sabem disso.
A Excello Mail oferece visibilidade contínua sobre a aplicação do seu DMARC e sobre cada fonte autorizada a enviar e-mails em nome do seu domínio, para que você sempre saiba o que sua autenticação realmente protege e onde estão seus limites. Cadastre-se gratuitamente na Excello Mail e veja exatamente quem está enviando e-mails como você, o tempo todo.