Capbara News: agentes de IA atacam 200 organizações, roubo de US$ 133 milhões e o chip que briga com o erro

Em algum lugar da Ásia, um servidor de pentest roda sozinho há três semanas. Ele não dorme, não pede café e não reclama de hora extra. Lê um relatório de infraestrutura, escolhe alvos, testa senhas, volta quando um caminho dá errado e tenta outro. Quando alguém no comando digita uma instrução em chinês, ele recalibra a rota e segue. Não é ficção científica: é o que a CrowdStrike descreveu esta semana, e é por onde a história de hoje começa.

🔍 O DIA NO CAPBARA

O grupo que os pesquisadores chamam de Vapor Panda usou um framework aberto de testes de invasão chamado ARTEX — multiagente, movido por modelos de linguagem — para atacar mais de 200 organizações em 14 países desde 17 de outubro. Os alvos não são aleatórios: ministérios, telecomunicações, farmacêuticas, semicondutores, defesa, nuclear, finanças. Segundo a CrowdStrike, pelo menos nove organizações foram comprometidas, entre elas provedores de telecomunicações nos Estados Unidos e na Bélgica e órgãos de governo na Grécia, no Oriente Médio e na América Latina. Os agentes faziam reconhecimento, exploravam falhas, plantavam backdoors, buscavam credenciais e, quando a porta fechava, seguiam por rotas alternativas sem intervenção humana.

E aqui está o detalhe que muda o tom da coisa: os operadores deram uma instrução explícita para os agentes pularem máquinas Windows protegidas pelo Falcon, o antivírus da própria CrowdStrike, e concentrarem fogo nos hosts desprotegidos. Em uma das invasões, os agentes consumiram mais de 1,4 bilhão de tokens de entrada — um volume que nenhuma equipe humana conseguiria processar no mesmo período e que, na prática, é a assinatura de que uma máquina pensou muito antes de agir. Segundo a empresa, a campanha marca uma escalada: o uso chinês de agentes de IA saiu de intrusões isoladas para múltiplos engajamentos simultâneos, todos dirigidos por um único humano. É a diferença entre um operador com uma chave de fenda e um operador com uma linha de produção.

O mesmo padrão aparece do outro lado da rede. Esta semana a Anthropic lançou o Claude Opus 5.5, e o ponto mais interessante do anúncio não é o desempenho — é a confissão. A empresa diz que Opus 5.5 teve o melhor resultado já medido na sua auditoria automatizada de comportamento, com muito menos disposição para tomar ações difíceis de reverter ou sair dos limites recebidos, e maior resistência a injeção de prompt. Ou seja: um modelo mais poderoso foi vendido, também, pela promessa de ser mais obediente. O preço caiu 40% em cargas típicas, com entrada e saída a US$ 4 e US$ 20 por milhão de tokens. Enquanto isso, na ponta do mercado, o Y Combinator confirma que o custo de operar agentes já é um item de orçamento: Garry Tan contou em podcast que gasta entre US$ 100 mil e US$ 200 mil por ano só em tokens, com agentes que leem seu e-mail, seu Dropbox e até suas anotações de terapia de vinte anos.

Do lado da física, a semana foi de apostas estruturais. A alemã Quint levantou 9,1 milhões de euros para fabricar chips supercondutores que suprimem parte dos erros ainda dentro do circuito — atacando justamente o que hoje é o maior item de custo da computação quântica, que não é o qubit, é o hardware extra que existe só para detectar e corrigir falhas. A rodada, liderada pela Vsquared Ventures, foi a maior já levantada por uma empresa quântica alemã nesse estágio, segundo o Handelsblatt, e vem acompanhada de mais de 2 milhões de euros em fomento da União Europeia. Em Hong Kong, o regulador monetário e a universidade de ciência e tecnologia lançaram um kit de migração para criptografia pós-quântica destinado aos bancos, com uma meta explícita: tirar o setor de uma nota 2,3 de 10 em prontidão quântica e levá-lo a 10 até 2030.

Na cripto, a conta foi outra — e mais feia. O Mercado Bitcoin, uma das maiores exchanges do Brasil, confirmou um incidente que analistas estimam ter drenado mais de US$ 46 milhões das carteiras da empresa. O que chama atenção no relato dos investigadores é o método: nada de contrato inteligente explorado, nada de chave privada vazada num atalho elegante. Segundo o engenheiro da CertiK Dickson Wu, os atacantes escolheram oito blockchains pequenas — Base, Optimism, Arbitrum entre elas — e passaram quatro horas martelando até chegar aos cofres quentes principais, depois moveram frações de ETH a partir de mais de 27 mil endereços de depósito de clientes. Transferências comuns, no meio do barulho, enquanto todo mundo olhava para o Binance.

Esse é o problema de fundo do Binance, aliás. A troca confirmou que gastou metade do seu fundo de proteção ao usuário em Bitcoin, algo em torno de US$ 580 milhões, num hack de US$ 6,3 bilhões atribuído pelo FBI ao grupo norte-coreano TraderTraitor. O fundo agora está abaixo do piso de US$ 800 milhões que as próprias regras da exchange dizem exigir reposição, e ninguém disse quando vai reabastecer. A Coreia do Norte nega, aponta o dedo para os Estados Unidos, e a Coreia do Sul já orienta exchanges a aumentar a fatia em cold storage. Em paralelo, o Conselho do Arbitrum fez algo sem precedentes: reescreveu brevemente um contrato central da rede para retirar US$ 30 milhões de um endereço para o qual não tinha chave nenhuma, e depois devolveu o código ao estado original. Foi a segunda vez no ano.

E há uma terceira frente, mais silenciosa. O investigador ZachXBT subiu na terça sua estimativa de um roubo não identificado de uma entidade europeia não nomeada para mais de US$ 133 milhões, US$ 27 milhões acima do que havia reportado na véspera. Parte dos saques aconteceu depois da primeira denúncia pública. Nas palavras dele, a teoria é que uma grande instituição financeira da Europa Ocidental foi explorada e está sendo encoberta. Enquanto ninguém confirma nada, a Bitquery rastreou quase US$ 63 milhões em stablecoins convertidos em mais de 27 mil ETH em cerca de quatro horas, com o dinheiro passando por ETH e Monero em trocadores instantâneos. O padrão de lavagem, diz ele, não bate com o da Lazarus.

📍 DESTAQUE DO DIA

Se há uma coisa que a campanha da Vapor Panda prova, é que o gargalo dos ataques automatizados não é mais a habilidade técnica — é a supervisão. Durante anos, o argumento de segurança foi que um ataque em escala exigiria um exército de gente qualificada, e gente é escassa, cara e rastreável. Os agentes resolveram a parte da gente e deixaram o problema do controle intacto: os pesquisadores relatam que os operadores entravam pontualmente, nos pontos de decisão, e o resto corria sozinho. Os agentes erravam sozinhos, se recuperavam sozinhos e voltavam pelo caminho alternativo sozinhos. Nada disso exigia que um humano estivesse presente.

O incômodo maior não é o número de alvos, é a assimetria. Uma organização atacada precisa de alguém olhando para cada log, cada alerta, cada host fora do padrão. Um agente atacante precisa de uma instrução de três linhas em chinês e um servidor alugado. A resposta defensiva já existe, e é a mesma que aparece em toda discussão séria de agentes neste ano: nenhum pipeline de agente deve poder alterar seu próprio escopo, mover dinheiro ou criar credenciais sem um segundo par de olhos. Vale para o atacante e vale, mais ainda, para o defensor — o incidente do Instituto Holandês para Divulgação de Vulnerabilidades, também atribuído a um agente de IA, é o lembrete de que o time bom está correndo atrás.

Fica a recomendação prática, sem meias palavras: se você opera agentes com acesso a credenciais, segmente por conta e por escopo, obrigue aprovação humana em qualquer ação irreversível e registre cada decisão. Se você opera cripto em servidor próprio, o caso do BTCPay é o mesmo filme — instância velha, chave quente na máquina, drenagem silenciosa. As próximas 72 horas vão dizer se o roubo europeu vira divulgação oficial ou fica como rumor; se aparecer um comunicado de instituição nomeando o veículo da brecha, o padrão de encobrimento que o ZachXBT sugere se torna o evento regulatório da semana.

🛡️ RADAR DE SEGURANÇA

No mundo do pagamento em cripto auto-hospedado, o BTCPay Server emitiu alerta urgente: instâncias rodando a versão 2.4.1 ou anterior estão sendo drenadas, com Bitcoin e Litecoin saindo de carteiras quentes. A falha foi corrigida em 7 de agosto, na versão 2.4.2, mas os ataques exploram um método diferente contra servidores que ficaram parados no tempo. A recomendação é dura: migrar para servidor limpo com carteira nova, mesmo sem sinal de roubo, porque toda a máquina e todos os segredos nela devem ser considerados comprometidos. A versão 2.4.7, que corrige uma falha crítica encontrada pelo scanner de código aberto da Anthropic, não tem relatos críveis de drenagem — ainda. E a lição de casa óbvia: se você precisa de carteira quente para operar, deixe ali só o que é de operação.

O resto da lista é uma lição sobre o que acontece quando o patch fica na gaveta. O plugin WordPress CryptoPayment Gateway carrega uma falha de severidade máxima (10 de 10) que permite a qualquer um, sem login, apagar arquivos e ler credenciais de carteira em texto claro; há exploração ativa em andamento vinda de infraestrutura que se anuncia como hospedagem anônima sem KYC, e o plugin já foi fechado na loja oficial sem previsão de correção. No mesmo dia, o Langflow, ferramenta de código aberto muito usada para montar agentes e fluxos com o protocolo MCP, acumula duas falhas críticas presentes da versão 1.0.0 até 1.12.8 — incluindo execução remota de código sem autenticação — com módulo já publicado no Metasploit para o bypass de autenticação; a única versão corrigida é a 1.13.0. E o governo britânico fez uma aposta desconfortável no seu relatório anual: considera altamente provável que malware turbinado por IA seja usado em um ransomware contra infraestrutura crítica do país até 2028.

📡 BREVES

O Bitcoin perdeu a linha dos US$ 77 mil nesta manhã, caminho para a quinta semana seguida de queda, com o Nasdaq entrando em correção e o mercado olhando para as eleições de meio de mandato nos EUA. O Zcash caiu quase 7% no dia, para cerca de US$ 1.162, enquanto o Monero subiu mais de 2%, a US$ 625 — movimento de fuga para a privacidade que ganhou uma narrativa inesperada: o fundador da Swan Bitcoin, Cory Klippsten, declarou que a IA é ameaça mais imediata ao Bitcoin do que a computação quântica, porque LLMs nas mãos de atacantes fuçam tudo em poucos prompts. Ele chama boa parte do pânico quântico de marketing para captar fundos, e aposta que o Bitcoin tem pelo menos uma década antes de precisar mudar sua criptografia. Há um fundo de verdade nisso, mas também há um interesse evidente em minimizar o risco dos próprios títulos.

Hong Kong, que ontem anunciou o kit pós-quântico para bancos, hoje levou a liquidação tokenizada para 24 horas por dia, sete dias por semana, no projeto Ensemble do seu regulador monetário, com planos de testar stablecoins reguladas em dívida pública tokenizada. É o mesmo movimento que o DTCC começou nos EUA: a infraestrutura financeira tradicional deixando de tratar tokens como experimento. No rastro disso, o Consensys lançou uma pilha de liquidação e roteamento entre redes para instituições, e a NEAR aprovou a redução do teto de emissão de seu token para 1,6%. O Hyperliquid ficou em US$ 84, e a THORChain continua sendo o cano por onde o dinheiro sujo passa e deixa rastro — o RUNE subiu mais de 11% no dia, provavelmente pela mesma razão que o mercado gosta de qualquer fluxo, seja ele limpo ou não.

🎯 OBSERVATÓRIO

Nas próximas horas, o que separa sinal de ruído é divulgação verificável. Se o roubo europeu for confirmado por uma instituição nomeada, a discussão deixa de ser sobre um investigador on-chain e vira sobre regulação e congelamento de fundos; se ficar só na acusação, é ruído com número grande. No Binance, acompanhe se o fundo de proteção ao usuário será reposto e em quanto tempo — a resposta diz mais sobre a saúde do setor do que qualquer cotação. E no front quântico, a pergunta que importa não é quem levantou rodada, mas quem demonstrou, em hardware real, que um chip suprime erro com centenas de qubits, não cinco.

---

📰 Leia mais em: https://capbara.blogspot.com/