As campanhas PromptMink e Mastra da Coreia do Norte mostram como os agentes de codificação por IA se tornaram a nova frente nos ataques à cadeia de suprimentos de criptomoedas, roubando carteiras por meio de dependências npm envenenadas.
Ataques à Cadeia de Suprimentos de Criptomoedas Agora Chegam Através de Programadores de IA
Em 28 de fevereiro de 2026, um commit de código rotineiro foi enviado para um bot de negociação de Solana de código aberto chamado openpaw-graveyard. Ele adicionou uma única dependência, @solana-launchpad/sdk. O commit foi co-autoria do Claude Opus da Anthropic. A dependência parecia limpa — README polido, tipos TypeScript corretos, funcionalidade real do Solana. Ela também puxou silenciosamente o @validate-sdk/v2, um coletor de credenciais da Coreia do Norte, que deu aos seus operadores um caminho para as carteiras e fundos do projeto. O ataque à cadeia de suprimentos de criptomoedas entrou em sua era de IA, e quase ninguém está defendendo a camada certa.
A ReversingLabs, a empresa de inteligência de ameaças que descobriu a campanha e a chamou de PromptMink, resumiu a virada em uma linha: os pacotes maliciosos foram "mais bem-sucedidos em enganar agentes de codificação de LLMs do que humanos para usá-los." Essa frase deveria aterrorizar qualquer pessoa que esteja construindo em cripto no momento.
Aqui está o argumento que quero apresentar, e ele é deliberadamente desconfortável: a cripto passou uma década e centenas de milhões de dólares auditando a blockchain — contratos inteligentes, lógica de consenso, multisigs — enquanto o dinheiro real está sendo roubado uma camada acima, no teclado do desenvolvedor, por malware que o próprio assistente de IA do desenvolvedor entregou pessoalmente. Temos defendido a cofre enquanto os ladrões aprenderam a arrombar a porta da sala onde o cofre está localizado.
Principais Pontos
- A ReversingLabs divulgou o PromptMink em 29 de abril de 2026: o grupo norte-coreano Famous Chollima usou um assistente de codificação com IA para inserir uma dependência do npm que rouba carteiras em um agente de negociação autônomo em produção.
- Não é isolado — o ataque à Mastra de junho de 2026 (Sapphire Sleet) envenenou mais de 140 pacotes de frameworks de IA em 88 minutos, e a primeira metade de 2026 produziu 497 pacotes maliciosos, aproximadamente 4,5 vezes o volume de pacotes de todo o ano de 2025.
- O dinheiro já não se move por meio de explorações em contratos inteligentes; ele é roubado na estação de trabalho do desenvolvedor, por meio da cadeia de suprimentos de software.
- A corrida do setor em direção a agentes de IA autônomos que detêm chaves privadas está construindo o alvo exato que a Coreia do Norte já sabe como drenar.
Por que o ataque se moveu off-chain?
PromptMink é uma aula magistral sobre como explorar a lacuna entre humanos e máquinas. O famoso Chollima (também rastreado como Shifty Corsair, e sobreposto aos clusters BlueNoroff e Sapphire Sleet) construiu uma arquitetura de pacote em duas camadas. A primeira camada é a isca — pacotes como @solana-launchpad/sdk, @meme-sdk/trade e @validate-ethereum-address/core que entregam funcionalidade Web3 genuína e útil, sem nenhum código malicioso. A segunda camada é a carga descartável — @validate-sdk/v2 e seus irmãos — que realizam o roubo efetivo e podem ser substituídas em questão de horas sempre que um registro remove um deles.
O que deve gelar o sangue da indústria é como a isca foi ajustada. A ReversingLabs chama a técnica de "abuso de Otimização de LLM (LLMO)": os pacotes foram projetados com READMEs longos e bem formatados e documentação polida, de modo que parecessem a resposta ideal para qualquer tarefa atribuída a um agente de codificação por IA. O código em si foi "vibe-coded" — gerado por um LLM — deixando artefatos soltos, como um comentário perguntando "ofuscar o README?", em arquivos de produção. Um desenvolvedor humano teria notado um pacote com doze downloads publicado na semana passada. O agente viu apenas adequação semântica e qualidade da documentação.
Em seguida, os payloads escalaram. As versões iniciais eram simples infostealers em JavaScript que varriam arquivos .env e .json. Variantes posteriores evoluíram para binários executáveis únicos de 80 megabytes em Node.js, depois para add-ons compilados em Rust que plantavam chaves SSH do atacante para persistência e exfiltravam árvores inteiras de código-fonte. Ao longo de aproximadamente sete meses, a campanha publicou mais de 60 pacotes exclusivos, abrangendo mais de 300 versões. A pesquisa independente da Expel vinculou aproximadamente US$ 12 milhões em roubo confirmado de criptomoedas à operação apenas no Q1 de 2026.
Quem ganha quando a IA escolhe suas dependências?
Este não é um incidente isolado. É uma campanha documentada. Em abril de 2026, um atacante no mesmo orbita comprometeu o cliente HTTP Axios — uma das bibliotecas JavaScript mais baixadas do mundo — e, por meio dele, o fluxo de trabalho de assinatura de aplicativos do macOS na OpenAI, forçando a revogação dos certificados de assinatura de código para ChatGPT Desktop, Codex e Atlas. Em junho de 2026, a Sapphire Sleet sequestrou a conta npm inativa "ehindero", um ex-contribuidor do Mastra cujos direitos de publicação nunca foram revogados, e republicou mais de 140 pacotes em toda a estrutura de agentes de IA @mastra em uma janela de 88 minutos. A carga útil envenenada, um typosquat da onipresente biblioteca dayjs chamada easy-day-js, disparou um dropper postinstall que visava 166 extensões de carteira de criptomoedas para navegadores em Windows, macOS e Linux.
A Unit 42 da Palo Alto atribuiu um número à tendência: o primeiro semestre de 2026 viu 37 campanhas e 497 pacotes maliciosos direcionados à ferramenta de agentes de IA — aproximadamente 2,6x as campanhas e 4,5x o volume de pacotes de todo o ano de 2025 combinado. A Socket vinculou mais de 1.700 pacotes maliciosos a essa atividade em npm, PyPI, Go, Rust e Packagist desde janeiro de 2025.
Quem perde é óbvio: cada equipe "codificando com vibe" um agente de produção contra dependências não verificadas, cada desenvolvedor solo cujo laptop executa npm install no piloto automático, e cada protocolo lançando um recurso de "agente autônomo" com acesso por tecla de atalho. Quem ganha é igualmente claro: os fornecedores de segurança que tratam agentes de codificação por IA como uma superfície de ataque em vez de uma camada de verificação — ReversingLabs, Socket, Snyk, Sonatype — e os registros que são forçados, finalmente, a atestar a proveniência, definir expiração para publicações com escopo e implementar autenticação de dois fatores obrigatória.
Isso já aconteceu antes?
Sim — mas nunca a essa velocidade ou com essa assimetria. O backdoor no event-stream em 2018 e as vulnerabilidades no coa/rc e ua-parser-js em 2021 provaram que a cadeia de suprimentos do npm era frágil. A campanha Contagious Interview da Coreia do Norte passou anos atraindo desenvolvedores de criptomoedas por meio de entrevistas de emprego falsas e avaliações de codificação com trojans. O que mudou em 2026 foi a remoção do gargalo humano. O atacante não precisa mais enganar um desenvolvedor para instalar o pacote errado; ele engana a heurística de seleção de pacotes do modelo, e o desenvolvedor mescla o resultado como um commit "co-autorado" que carrega um carimbo de proveniência de IA que muitos revisores agora confiam de forma reflexiva.
É envenenamento de SEO para código — o mesmo roteiro que as pessoas usam para manipular os resultados do Google, aplicado à resolução de dependências. E tem um irmão que a indústria mal menciona: "slopsquatting", em que um agente de IA alucina um nome de pacote plausível durante a geração, e os registradores registram esse nome exato mais tarde para que o próximo agente que "completar" a mesma tarefa puxe a armadilha. A vulnerabilidade não está no modelo. Está em um pipeline que dá a um agente autoridade para adicionar dependências e executar scripts de instalação sem reputação pré-merge ou filtro de malware.
Para onde isso está indo em um a três anos?
A primeira onda de defesa será entediante e majoritariamente eficaz: autorização por pacote, aplicação de lockfile e proveniência, instalações em sandbox, tratamento de hooks postinstall como não confiáveis por padrão e feeds de inteligência de ameaças integrados ao contexto do agente de codificação. A segunda onda é onde as coisas ficam feias. Os atacantes seguirão a confiança para cima — nos pesos do modelo, dados de ajuste fino e servidores MCP, o tecido conjuntivo da economia de agentes. O Grupo de Inteligência de Ameaças do Google já documentou a primeira exploração zero-day gerada por IA usada em ambiente real em 2026. A Coreia do Norte não vai parar; o roubo de criptomoedas é uma linha de receita estatal.
Minha previsão: em três anos, "quem escreveu o código e o que ele importa" se torna a verdadeira questão de segurança, e "o código é a lei" morre como postura. Agentes autônomos que tocam fundos serão tratados como usuários privilegiados sujeitos a revisão de menor privilégio, e um padrão de atestação da cadeia de suprimentos — o equivalente cripto do SOC 2 — se torna essencial para qualquer coisa que detenha uma chave. Os projetos que sobrevivem são aqueles que tratam seu grafo de dependências com a mesma paranoia que antes reservavam para seus contratos inteligentes.
O que isso significa para os traders?
Não preço — risco. A lição estratégica é uma reordenação de prioridades sobre onde seu capital está realmente exposto. Se você opera ou depende de bots e agentes que acessam chaves, faça a pergunta desconfortável: quem ou o que adicionou suas dependências, e esse agente pode introduzir um novo pacote sem a aprovação de um humano? Analise qualquer protocolo que lance uma funcionalidade de agente autônomo com custódia de chaves quentes — o raio de explosão é novo, grande e quase certamente subestimado.
As medidas concretas não custam nada e se acumulam: fixe as dependências, faça commit dos arquivos lock, habilite a proveniência de pacotes, trate os hooks postinstall como não confiáveis, revise cada commit escrito por IA que toque no package.json e rotacione os arquivos .env, chaves SSH e tokens de API em qualquer máquina que executou npm install durante uma janela de comprometimento conhecida. O diferencial neste mercado para os próximos dezoito meses não é um token. É ainda ter suas chaves no final deles.
A coisa mais perigosa em cripto em 2026 não é um bug em smart contract — é um desenvolvedor confiando em sua IA para escolher uma "biblioteca de validação." A Coreia do Norte não derrotou a blockchain; ela derrotou a pessoa sentada à frente dela, usando sua própria ferramenta de produtividade para fazer o trabalho sujo. Então, aqui está a pergunta que não me sai da cabeça: nós nos obcecamos em saber se o código foi auditado, mas quem está auditando as dependências do auditor? Quando seu agente de negociação autônomo tem autoridade de assinatura e um histórico de commits co-escrito por Claude, o ataque nunca precisa tocar a cadeia. Ele só precisa de npm install.
FAQ
O que é PromptMink? PromptMink é uma campanha de cadeia de suprimentos da Coreia do Norte nomeada pela ReversingLabs em abril de 2026. Ela usou pacotes npm em duas camadas — um pacote "isca" limpo como @solana-launchpad/sdk que silenciosamente puxava uma carga útil maliciosa de segunda camada, @validate-sdk/v2, que exfiltrava credenciais de carteira, chaves SSH e código-fonte.
A Anthropic ou o Claude realmente criaram malware? Não. O modelo não escreveu código malicioso; ele aceitou uma dependência com aparência plausível para uma tarefa de codificação. A falha foi na configuração do pipeline — um agente com autoridade para adicionar dependências e executar scripts de instalação, sem nenhum mecanismo de verificação de malware ou reputação antes da mesclagem.
O que foi o ataque à Mastra? Em 17 de junho de 2026, a Sapphire Sleet, da Coreia do Norte, sequestrou a conta npm inativa "ehindero" e republicou mais de 140 pacotes no framework de agentes de IA @mastra em 88 minutos. Cada um deles continha uma dependência de typosquat, easy-day-js, com um dropper postinstall que visava 166 extensões de carteiras de criptomoedas.
Como saber se fui afetado? Verifique seus arquivos lock em busca dos nomes de pacotes sinalizados (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), execute um scanner de dependências focado em malware e altere os valores de .env, chaves SSH e tokens de API em qualquer máquina que executou npm install durante as janelas de comprometimento.
Por que agentes cripto autônomos são o alvo principal? Eles ficam diretamente ao lado de chaves privadas, tokens de API e credenciais de nuvem. A Unit 42 rastreou 37 campanhas e 497 pacotes maliciosos direcionados à ferramenta de agentes de IA no primeiro semestre de 2026 — a superfície de ataque de maior valor e menor esforço no ecossistema hoje.
Fontes para leitura adicional: ReversingLabs — Claude adiciona malware a agente cripto (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Comprometimento da cadeia de suprimentos do npm Mastra (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), e Cloud Security Alliance — Nota de pesquisa PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).