A ORO foi atacada pela organização de hackers norte-coreana Sapphire Sleet, com um prejuízo de 630 mil dólares em criptomoedas

O agente de compras com IA ORO divulgou a 21 de julho na plataforma X que a sua empresa terá sido alvo de um ataque informático por parte de hackers norte-coreanos. A 13 de julho, a empresa perdeu 147 mil tokens Alpha, no valor de cerca de 630 mil dólares. Os atacantes terão acedido à conta do Telegram de um contacto legítimo de funcionários da ORO e enviado uma ligação falsa para uma reunião, levando os colaboradores a instalar uma extensão maliciosa que recolheu dados durante quase um mês antes do roubo.

Técnicas do ataque: ligação falsa do Microsoft Teams, extensão maliciosa e recolha de dados durante quase um mês

De acordo com o relatório de análise pós-incidente divulgado pela ORO, a cadeia completa deste ataque foi a seguinte:

Fevereiro de 2025: Funcionários da ORO conheceram, numa conferência do setor, um contacto; ambos estabeleceram uma relação de comunicação normal no Telegram

Maio de 2026: A conta do Telegram que terá sido comprometida contactou proactivamente um funcionário da ORO, para agendar uma chamada de vídeo

De maio a julho de 2026: Funcionários da ORO tentaram entrar na chamada usando uma ligação que imitava o Microsoft Teams, mas sem som. Após a chamada, o computador apresentou a mensagem “Atualizar Microsoft Teams”. O funcionário aceitou e instalou uma extensão maliciosa. A extensão monitorizava as entradas de teclado, o histórico da área de transferência e capturas de ecrã, além de poder alterar endereços de carteiras de criptomoedas. Os atacantes recolheram dados em silêncio durante quase um mês

13 de julho de 2026: Os atacantes roubaram 147 mil tokens Alpha da carteira cripto da ORO (cerca de 630 mil dólares)

A ORO admite falhas de segurança: suporte insuficiente a carteiras de hardware no Bittensor leva ao roubo de chaves da carteira de software

Num comunicado, a ORO reconheceu que, para se adaptar ao problema de suporte alargado insuficiente a carteiras de hardware para o protocolo Bittensor, “temporariamente” definiu as chaves do proprietário como uma carteira de software, em vez de seguir o princípio interno de segurança que dá prioridade às carteiras de hardware.

O texto do comunicado afirma: “Foi precisamente por esta razão que os dados puderam ser roubados a partir de uma máquina comprometida. É imperdoável e é um erro nosso.” A ORO sublinhou que a chave de assinatura dos validadores na carteira de hardware “nunca foi divulgada”, que a rede de subrede funcionou perfeitamente e que as restantes carteiras e os dados dos utilizadores não foram afetados.

Atribuição do ataque aos autores da Sapphire Sleet: prova por endereço IP, payload e informações de ameaça da Microsoft

A ORO afirmou que, com “alto grau de confiança”, com base em três indicadores técnicos, este ataque foi perpetrado por uma organização de hackers apoiada pelo Estado norte-coreano, a Sapphire Sleet: o endereço IP indicado pelos beacons enviados pela máquina comprometida, o payload malicioso correspondente e a sobreposição com a infraestrutura anteriormente registada pela divisão de inteligência de ameaças da Microsoft.

O relatório de inteligência de ameaças da Microsoft indica que a Sapphire Sleet é especializada em ataques de engenharia social usando temas do Teams, focando-se em alvos macOS, e induzindo os utilizadores a executar manualmente ficheiros maliciosos através de atualizações de software falsificadas, contornando os mecanismos de segurança incorporados no macOS.

Perguntas frequentes

O incidente de roubo dos tokens Alpha da ORO afeta os ativos de outros utilizadores?

De acordo com o comunicado oficial da ORO, este ataque afetou apenas uma carteira de software específica da empresa (devido à definição temporária que não utilizou uma carteira de hardware). Outras carteiras, dados dos utilizadores, dados da subrede e as chaves de assinatura dos validadores na carteira de hardware não foram afetados. A ORO refere que a sua subrede está atualmente a funcionar totalmente de forma normal.

Porque é que a ORO considera que este ataque teve origem na Sapphire Sleet?

No relatório de análise pós-incidente, a ORO afirmou que, com base no endereço IP dos beacons emitidos pela máquina comprometida, no payload malicioso correspondente e na sobreposição com a infraestrutura anteriormente registada pela divisão de inteligência de ameaças da Microsoft, a empresa tem “alto grau de confiança” de que o atacante é um membro da Sapphire Sleet. A Sapphire Sleet é uma organização de hackers apoiada pelo Estado norte-coreano.

Qual foi a responsabilidade de segurança da própria ORO no incidente de ataque à ORO?

A ORO reconheceu que, devido ao suporte insuficiente do protocolo Bittensor a carteiras de hardware, a empresa “temporariamente” violou os princípios internos de segurança, definindo as chaves do proprietário como uma carteira de software em vez de uma carteira de hardware, o que levou ao roubo das chaves após a intrusão no computador. A ORO afirmou no comunicado que se trata de um “erro imperdoável” e pediu formalmente desculpa.