Pesquisadores da Socket identificaram a campanha TrapDoor, com mais de 34 pacotes maliciosos publicados em npm, PyPI e Crates.io. O ataque mira desenvolvedores de cripto, DeFi, Solana, Sui, Aptos e IA para roubar carteiras, chaves SSH, tokens GitHub, credenciais de nuvem e variáveis de ambiente.
Uma campanha de ataque à cadeia de suprimentos chamada TrapDoor colocou desenvolvedores cripto em alerta ao espalhar pacotes maliciosos por três dos maiores ecossistemas open source: npm, PyPI e Crates.io. Segundo a Socket, a operação envolve mais de 34 pacotes e mais de 384 versões ou artefatos relacionados, com atividade inicial observada em 22 de maio de 2026.
O ponto mais sensível para o mercado cripto é o alvo escolhido. A campanha não mira apenas usuários finais ou extensões de carteira: ela tenta comprometer ambientes de desenvolvimento, onde podem ficar chaves de deploy, seeds, keystores, tokens de GitHub, credenciais de AWS e arquivos .env. Em projetos DeFi, uma única credencial roubada pode abrir caminho para alterações em repositórios privados, pipelines de CI/CD ou infraestrutura de produção.
Como o TrapDoor se espalha
A Socket afirma que o TrapDoor foi desenhado para parecer ferramenta legítima de segurança, auditoria ou configuração de ambiente. Entre os nomes listados pelos pesquisadores aparecem pacotes como crypto-credential-scanner, defi-env-auditor, wallet-security-checker, eth-security-auditor e utilitários voltados a Sui e Move.
O ataque usa caminhos diferentes conforme o ecossistema. No npm, pacotes executam scripts de postinstall e carregam um payload chamado trap-core.js. No PyPI, alguns pacotes executam JavaScript remoto no momento da importação. No Crates.io, crates voltadas a Sui e Move abusam de scripts build.rs, que rodam durante o processo de compilação em Rust.
Esse desenho torna o ataque perigoso porque o código malicioso pode rodar antes que o desenvolvedor use a biblioteca de forma explícita. Basta instalar, importar ou compilar a dependência para que a máquina seja exposta.
Carteiras e credenciais entram na mira
De acordo com a análise da Socket, os pacotes tentam coletar chaves SSH, dados de carteiras de Sui, Solana e Aptos, credenciais AWS, tokens GitHub, dados de perfis de navegador, extensões de carteira cripto, variáveis de ambiente, chaves de API e arquivos locais de configuração.
O The Hacker News também reportou que a campanha usa nomes de pacote voltados a comunidades de cripto, DeFi, Solana e IA. O objetivo não parece ser apenas roubar uma carteira isolada, mas ganhar persistência e ampliar o acesso dentro do ambiente do desenvolvedor. Entre os mecanismos citados estão hooks de Git, cron, serviços systemd, shell hooks e tentativa de movimentação lateral via SSH.
O alerta conversa com uma tendência que já apareceu em outros incidentes recentes. O CriptoBR mostrou como o Lazarus usou um falso Zoom para atacar executivos cripto no Mac, enquanto outra campanha de malware mirou carteiras com software falso de conversão de PDF. A diferença agora é que o vetor está mais próximo do código usado por equipes que constroem protocolos, bots, apps e infraestrutura onchain.
IA também virou superfície de ataque
Um detalhe novo é o uso de arquivos como .cursorrules e CLAUDE.md, normalmente usados para orientar assistentes de programação com IA. A Socket diz que o atacante tentou inserir instruções ocultas nesses arquivos para induzir ferramentas de IA a executar tarefas descritas como “varreduras de segurança”, mas desenhadas para localizar e exfiltrar segredos.
Na prática, isso mostra que a segurança de dependências não termina mais no gerenciador de pacotes. Ambientes com assistentes de IA, hooks locais, automações de build e scripts de deploy também precisam entrar no modelo de risco, principalmente quando lidam com chaves de carteiras ou permissões de produção.
O que equipes cripto devem fazer agora
Para desenvolvedores e projetos, a recomendação imediata é auditar arquivos como package.json, requirements.txt, pyproject.toml, Cargo.toml e lockfiles em busca de pacotes recentes ou desconhecidos. Quem instalou ferramentas de “wallet safety”, “security auditor”, “DeFi scanner” ou utilitários de Sui/Move nos últimos dias deve tratar a máquina como potencialmente comprometida.
Também faz sentido rotacionar chaves SSH, tokens GitHub, credenciais de nuvem, variáveis de ambiente e carteiras cujos keystores estiveram presentes no dispositivo afetado. Em times maiores, o risco se estende aos pipelines: tokens de CI/CD e permissões de deploy podem ser tão valiosos quanto uma seed phrase.
Para usuários comuns, o impacto é indireto, mas relevante. Se um time de protocolo ou app DeFi for comprometido pela estação de trabalho de um desenvolvedor, a ameaça pode chegar a contratos, front-ends, integrações e assinadores internos. Por isso, ataques de supply chain se tornaram parte central da segurança cripto, ao lado de auditorias de smart contracts e monitoramento onchain.
A lição do TrapDoor é simples: no mercado cripto, a carteira não é o único cofre. O ambiente de desenvolvimento também guarda chaves, permissões e caminhos de acesso que podem valer milhões.
Mauro Andrade cobre cripto internacional, geopolítica digital e mercado global no CriptoBR. Acompanha movimentos regulatórios nos EUA, Europa e Ásia, adoção institucional por grandes players (BlackRock, Fidelity, JPMorgan) e o impacto geopolítico das criptomoedas no cenário financeiro mundial.
