Principal Conclusão: Em 31 de março de 2026, hackers norte-coreanos comprometeram o Axios, uma biblioteca JavaScript npm baixada 83 milhões de vezes por semana, injetando malware projetado para roubar criptoativos e credenciais. Este ataque à cadeia de suprimentos afeta carteiras de software, DApps e exchanges que dependem de bibliotecas JavaScript. Carteiras de hardware com isolamento de rede, como a ELLIPAL, não estão expostas a ele, pois não possuem conexão com a internet, nenhuma dependência de npm ou de qualquer gerenciador de pacotes, e assinam todas as transações offline via códigos QR. Separadamente, um roubo físico de Bitcoin de $66 milhões no Arizona serve como um lembrete de que a segurança digital por si só deixa uma lacuna, já que o hardware anti-violação é o que aborda o vetor de ameaça física.
Referência rápida
| Termo | O que significa |
|---|---|
| Ataque à cadeia de suprimentos | Um ataque que visa uma ferramenta usada para construir software (como uma biblioteca), então qualquer coisa construída com essa ferramenta herda o comprometimento |
| npm | O maior registro de pacotes para bibliotecas JavaScript, usado pela maioria dos aplicativos de cripto |
| Axios | Uma biblioteca cliente HTTP JavaScript amplamente utilizada, baixada cerca de 83 milhões de vezes por semana |
| Carteira com isolamento de rede | Uma carteira de hardware sem internet, Bluetooth, dados USB ou conexão NFC, que se comunica apenas por código QR |
| Anti-violação | Um design físico destinado a apagar os dados armazenados do dispositivo se a carcaça for aberta à força |
O ataque Axios: o que aconteceu e por que é importante
Às 00:21 UTC de 31 de março de 2026, um grupo norte-coreano, confirmado pela divisão Mandiant do Google, comprometeu a conta de publicação npm do Axios, uma das bibliotecas cliente HTTP JavaScript mais amplamente utilizadas no mundo. Os invasores publicaram versões maliciosas (v1.14.1 e v0.30.4) que carregavam uma dependência oculta, "plain-crypto-js", que implantava um trojan de acesso remoto multiplataforma. As versões maliciosas ficaram ativas por aproximadamente três horas antes de serem detectadas e removidas.
- Mais de 83 milhões de downloads semanais: Axios é usado em grande parte do ecossistema JavaScript.
- Atribuição norte-coreana confirmada, conforme investigação da Google Mandiant.
- Cripto era o alvo explícito. O malware foi construído para roubar criptoativos e credenciais.
- Ampla cobertura da mídia pela CNN, Benzinga, Reuters, HackerNews, Snyk e Wiz.
Por que isso é diferente de um hack normal
A maioria dos ataques de cripto visa os usuários diretamente, por meio de phishing, sites falsos ou exchanges comprometidas. O ataque ao Axios envenenou as ferramentas que os desenvolvedores usam para construir aplicativos de cripto.
- Um ataque de phishing o engana para você entregar suas chaves.
- Um hack de exchange compromete a plataforma que detém seus ativos.
- Um ataque à cadeia de suprimentos compromete o próprio software, incluindo o aplicativo de carteira, o frontend do DApp ou a interface da exchange.
Qualquer aplicativo de cripto que tenha atualizado automaticamente sua dependência Axios durante essas três horas poderia ter incluído o malware, muitas vezes sem que o usuário ou mesmo o desenvolvedor soubesse. É por isso que os ataques à cadeia de suprimentos são considerados uma das categorias mais sérias. Eles exploram a confiança na própria cadeia de ferramentas de desenvolvimento.
Quais carteiras estão expostas e quais não estão
| Tipo de carteira | Exposta a ataques de cadeia de suprimentos? | Porquê |
|---|---|---|
| Software / carteiras quentes | ⚠️ Potencialmente sim | Construídas com dependências JavaScript e npm; uma dependência comprometida pode afetar o aplicativo |
| Carteiras de exchange | ⚠️ Potencialmente sim | Backends de exchange usam bibliotecas npm; uma dependência comprometida pode afetar sistemas internos |
| Carteiras de hardware com aplicativos complementares | ⚠️ Aplicativo complementar potencialmente afetado | Aplicativos complementares JavaScript ou Electron podem ser afetados; o elemento seguro do dispositivo ainda protege as chaves |
| Carteiras de hardware com isolamento de rede (ELLIPAL) | ✅ Não exposta | Sem conexão com a internet, sem tempo de execução JavaScript, sem dependências npm; a assinatura acontece offline, e os códigos QR carregam apenas dados da transação |
O roubo físico de $66 milhões: quando a segurança digital não é suficiente
No mesmo fim de semana, duas pessoas dirigiram 600 milhas até Scottsdale, Arizona, para roubar fisicamente um detentor de Bitcoin em $66 milhões. Este é um ataque de "coerção física" documentado de acordo com o banco de dados de ataques físicos de Jameson Lopp. Dias antes, suspeitos no sequestro do cofundador da Ledger, David Balland, foram presos na Espanha. À medida que os valores das criptomoedas aumentam, os ataques físicos a detentores são uma preocupação crescente, e a maioria das carteiras de hardware protege as chaves de hackers remotos, mas não de alguém com acesso físico ao dispositivo.
Com isolamento de rede e anti-violação: dois vetores de ameaça
O Titan 2.0 da ELLIPAL foi projetado para abordar vetores de ataque digitais e físicos:
- Contra ataques digitais (como o Axios): isolamento de rede, sem USB, Bluetooth, Wi-Fi ou NFC, sem dependência de npm ou qualquer gerenciador de pacotes, e assinatura que ocorre offline através de códigos QR que carregam apenas dados da transação.
- Contra ataques físicos: uma caixa selada totalmente metálica projetada para apagar as chaves privadas se a caixa for violada, um elemento seguro certificado CC EAL5+ (o grau usado em passaportes e cartões de pagamento) e suporte para múltiplas contas, incluindo contas de baixo saldo.
| Ameaça | Carteira de software | Carteira de hardware + aplicativo complementar | ELLIPAL (isolamento de rede) |
|---|---|---|---|
| Ataque à cadeia de suprimentos | ❌ Exposta | ⚠️ Aplicativo complementar exposto | ✅ Não exposta (sem internet) |
| Phishing ou malware | ❌ Exposta | ⚠️ Dispositivo seguro, aplicativo exposto | ✅ Não exposta (sem conexão) |
| Violação física | ❌ Telefone pode ser levado | ⚠️ A maioria dos modelos não tem anti-violação | ✅ Projetada para apagar chaves em caso de violação |
Como se proteger: um framework prático
- Mova os ativos principais para armazenamento frio com isolamento de rede. Isso fecha os vetores de ataque da cadeia de suprimentos e ataques remotos.
- Use uma carteira quente apenas para transações diárias. Mantenha um saldo mínimo.
- Escolha hardware com proteção anti-violação. Se um dispositivo puder ser aberto sem apagar as chaves, ele não é fisicamente seguro.
- Não anuncie suas posses.
- Use um backup de seed de metal armazenado separadamente. Seu backup é sua rota de volta se algo acontecer com o dispositivo.
- Se você usa carteiras de software, monitore as atualizações em busca de pacotes suspeitos.
FAQ
Um ataque à cadeia de suprimentos pode roubar criptomoedas de uma carteira de hardware?
Depende da arquitetura. Carteiras de hardware com aplicativos complementares JavaScript podem ter software complementar comprometido, embora o elemento seguro do dispositivo ainda deva proteger as chaves. Carteiras com isolamento de rede como a ELLIPAL não possuem dependências de software e nenhum aplicativo complementar que se conecte ao dispositivo, portanto, não estão expostas a essa classe de ataque.
A ELLIPAL é afetada pelo hack do Axios?
Não. A arquitetura com isolamento de rede da ELLIPAL significa que o dispositivo não tem conexão com a internet e não executa JavaScript. O problema do Axios afeta apenas aplicativos que incluem o pacote npm comprometido. A assinatura da ELLIPAL acontece offline via códigos QR.
Como funciona o design anti-violação da ELLIPAL?
O Titan 2.0 possui uma caixa selada totalmente metálica. Se a caixa for fisicamente violada, o dispositivo é projetado para apagar as chaves privadas armazenadas, para que um invasor físico não possa extraí-las do hardware.
Seja seu próprio dono. Então use.
Nota de segurança: Nenhuma configuração de autocustódia remove todos os riscos. A arquitetura com isolamento de rede fecha caminhos de ataque remotos e de cadeia de suprimentos, mas não elimina todos os riscos físicos, de firmware, de engenharia social ou de erro do usuário. Compre de uma fonte oficial, armazene sua frase de recuperação em um backup offline durável mantido separadamente e não a compartilhe nem a insira digitalmente. Esta é uma informação educacional geral, não um conselho financeiro, de investimento ou de custódia.