Inferno Drainer: por dentro do malware que já drenou US$ 80 milhões em cripto
O Inferno Drainer foi um serviço de 'wallet drainer as a service' que, entre novembro de 2022 e novembro de 2023, ajudou afiliados a roubar cerca de US$ 80 milhões em criptomoedas por meio de mais de 16 mil domínios de phishing imitando protocolos Web3 como Seaport e WalletConnect, além de mais de 100 marcas cripto. Mesmo após o encerramento anunciado, o painel seguiu ativo até janeiro de 2024, e o modelo de negócio de comissão 80/20 já inspira sucessores.
A Group-IB detalhou o funcionamento do Inferno Drainer, um dos maiores serviços de "drenagem" de carteiras cripto já identificados, ativo por cerca de um ano até seu encerramento anunciado em novembro de 2023.
O serviço fornecia a criminosos afiliados um painel de controle, kits de phishing prontos e scripts JavaScript maliciosos que imitavam a interface de conexão de protocolos Web3 legítimos, como Seaport, WalletConnect e Coinbase Wallet. A vítima, ao "conectar a carteira" em um site falso — geralmente anunciado como airdrop gratuito, mint exclusivo ou recuperação de fundos —, na prática assinava uma aprovação que dava ao contrato malicioso permissão para transferir seus tokens. Os operadores do serviço ficavam com 20% do valor roubado e repassavam 80% ao afiliado responsável por atrair a vítima.
A operação usou mais de 16 mil domínios únicos, chegou a imitar mais de 100 marcas do ecossistema cripto e causou prejuízo estimado em US$ 80 milhões, com divulgação promovida principalmente em Twitter/X e Discord.
Mesmo após o "encerramento" oficial, o painel do serviço continuou operacional por meses, e a infraestrutura e o código tendem a ser reaproveitados por novos grupos que seguem o mesmo modelo de negócio. Na prática, quem usa criptomoedas deve checar a idade de registro do domínio antes de conectar a carteira — menos de seis meses é sinal de alerta —, nunca compartilhar a seed phrase, revisar e revogar periodicamente aprovações de contrato concedidas anteriormente, e desconfiar sistematicamente de ofertas de airdrop, mint ou "recuperação de fundos" que exigem conectar a wallet a um site externo.