A conta X de Yat Siu é vítima de uma campanha coordenada de fraude com tokens

Yat Siu, cofundador da Animoca Brands e uma das figuras mais influentes na indústria de criptomoedas, viu a sua conta no X ser comprometida numa ataque sofisticado destinado a promover um token fraudulento. O incidente, ocorrido no final de dezembro de 2024, destaca a crescente ameaça de ataques de engenharia social direcionados a líderes de destaque na indústria. A Animoca Brands rapidamente emitiu um aviso para alertar os seguidores de que a conta de Siu tinha sido invadida e esclareceu que não estava em curso nenhum lançamento oficial de token ou NFT.

Como o Ataque Aconteceu: Táticas de Phishing e Tomada de Conta

A violação foi orquestrada através de um email enganoso que se fazia passar pela equipa jurídica e de conformidade do X, alegando tratar de questões de infração de direitos de autor. Esta abordagem de engenharia social revelou-se suficientemente eficaz para permitir aos atacantes aceder às credenciais da conta de Yat Siu. Segundo o investigador de segurança de criptomoedas ZachXBT, este ataque não foi um incidente isolado — fez parte de uma campanha coordenada que resultou em múltiplas violações semelhantes de contas no mês anterior, com os perpetradores a desviarem aproximadamente 500.000 dólares de vítimas durante esse período.

Os atacantes agiram rapidamente para explorar a conta comprometida, publicando posts a promover um token falsificado, demonstrando como as ameaças podem escalar rapidamente após o acesso à conta ser obtido.

O Token Falsificado MOCA e a Conexão com Mocaverse

Os posts fraudulentos na conta de Yat Siu promoviam um token falso chamado MOCA na blockchain Solana. Esta escolha foi deliberada — os golpistas aproveitaram a reputação e o reconhecimento do legítimo Moca Coin (MOCA), que está associado ao Mocaverse, um projeto no qual a Animoca e Yat Siu mantêm participações significativas. O Mocaverse funciona como um sistema de gestão de contas e identidades dentro do ecossistema mais amplo, tornando-se um alvo atraente para esquemas de sequestro de reputação.

Os atores por trás do token falsificado estavam a desenvolver ativamente fontes adicionais de receita, incluindo a implantação de coleções de NFTs em plataformas de memecoin como Pump.fun. Dados na blockchain revelaram que a carteira associada a esta campanha detinha aproximadamente 67.000 dólares em USDC, embora não esteja claro se esses fundos representam lucros diretos do ataque de phishing ou se foram acumulados por outros meios.

Resposta e Recuperação: Protegendo a Conta de Yat Siu

O X agiu rapidamente para assegurar o controlo da conta de Yat Siu e iniciou o processo de verificação da sua propriedade. A Mocaverse e a Animoca Brands emitiram declarações a confirmar que todas as contas oficiais da organização permaneceram intactas e que medidas de segurança robustas estavam em vigor para evitar acessos não autorizados adicionais. “Não há comprometimento nas contas oficiais da Animoca Brands, Moca Network ou MOCA Foundation”, tranquilizaram os stakeholders, enfatizando a distinção entre a conta pessoal de Yat Siu e a infraestrutura corporativa.

Implicações Mais Amplas: Um Mês de Engenharia Social Sofisticada

O incidente sublinha uma tendência preocupante na segurança de criptomoedas. Ao longo de um mês, dezenas de campanhas de phishing semelhantes visaram figuras influentes na indústria, cada uma a empregar táticas quase idênticas: emails fraudulentos a impersonar equipas de suporte de plataformas, seguidos de tomadas de conta e esquemas de promoção de tokens. A investigação de ZachXBT revelou a natureza coordenada destes ataques, sugerindo a atuação de um único grupo de ameaça sofisticado ou de uma rede de atacantes imitadores a explorar as mesmas vulnerabilidades.

Para a comunidade de criptomoedas, o ataque a Yat Siu serve como um lembrete crucial de que mesmo líderes experientes, com amplo conhecimento, são vulneráveis a ataques de engenharia social bem executados. O incidente destaca a importância de autenticação multifator, formação em segurança e a necessidade de plataformas como o X fortalecerem os seus processos de recuperação e verificação de contas para proteger utilizadores de alto perfil de se tornarem vetores de promoção de fraudes.