Launcher do jogo NIKKE é comprometido e distribui RAT e infostealer que rouba carteiras cripto

O ataque começou em 27 de setembro de 2026, quando os atacantes alteraram quatro arquivos JavaScript do launcher oficial hospedados na própria CDN da desenvolvedora, injetando código ofuscado que apontava para infraestrutura externa sob os domínios insightjs[.]com e insightjs[.]org. Por ser um comprometimento da distribuição oficial — e não um site pirata ou instalador falso — o malware chegou a jogadores que fizeram tudo certo, baixando o launcher direto da fonte confiável, o que caracteriza um clássico ataque de cadeia de suprimentos de software.

O payload tinha dois componentes complementares: um RAT batizado K2F, construído sobre LuaJIT, que dava ao atacante execução remota de comandos, navegação e download de arquivos locais e captura de tela; e uma DLL maliciosa (platform_experience_helper.dll) que atuava como infostealer persistente, continuando a coletar dados mesmo depois do launcher ser fechado. O alvo mais valioso não eram as credenciais do jogo em si, mas os dados de extensões de carteira de criptomoeda armazenados no navegador — especificamente frases de recuperação (seed phrases) e chaves privadas de MetaMask, Phantom e Coinbase Wallet.

Esse detalhe é o que transforma o incidente de um simples roubo de conta de jogo em fraude financeira direta: posse da seed phrase equivale a controle total e irrevogável sobre a carteira, permitindo ao atacante drenar todos os ativos sem precisar de senha, 2FA ou qualquer aprovação adicional da vítima. Diferente de fraudes bancárias tradicionais, não existe chargeback ou contestação possível em transações cripto já confirmadas, o que faz desse vetor — infostealers disfarçados em canais de distribuição de jogos — um dos mais lucrativos e menos reversíveis do ecossistema de crimes financeiros digitais.

A Shift Up/Level Infinite corrigiu o launcher em 4 de novembro, mas qualquer jogador que tenha usado a versão comprometida entre o fim de setembro e a correção deve considerar suas carteiras cripto totalmente comprometidas, independente de sintomas visíveis. Na prática, isso significa: criar novas carteiras em um dispositivo limpo e transferir os fundos imediatamente, revogar aprovações de contratos antigas (via ferramentas como revoke.cash), nunca manter seed phrases em texto puro ou em extensões de navegador sem camada adicional de proteção, e verificar a presença do indicador de comprometimento citado (entrada 'k2f_chan registered' no arquivo Launcher/intl_service/debug.log) como sinal de infecção passada.