Acabei de ler algo que deveria preocupar qualquer pessoa que use assistentes de IA com suas carteiras de criptomoedas. Descobriram-se mais de 300 plugins maliciosos projetados especificamente para roubar dados de carteiras e contas de troca. E o pior é que provavelmente nem percebes que está a acontecer.

Olha, a IA está a tornar-se cada vez mais integrada nas nossas computadores. Já não é apenas um chatbot: agora são agentes digitais com acesso a nível de sistema. Podem ler ficheiros locais, executar comandos, aceder a dados do navegador, conectar-se a carteiras, gerir ferramentas de trading. Basicamente, têm as chaves da tua casa digital.

O problema é que quando um atacante infecta uma ferramenta de IA, obtém acesso a tudo isso. E para utilizadores de crypto, isto é especialmente perigoso. Os investigadores descobriram que estes plugins maliciosos podem roubar: frases seed, ficheiros de chaves privadas, passwords de trading, códigos 2FA, chaves de API. Tudo silenciosamente, sem janelas pop-up, sem alertas. O malware executa-se em background, recolhe dados da carteira sem que notes, e envia tudo aos atacantes.

O insidioso é como funciona. Os atacantes podem ler diretamente os teus ficheiros de carteira, obter credenciais da troca, capturar códigos de verificação, redefinir passwords. E não precisam do teu consentimento ativo. É como se alguém tivesse uma cópia de todas as tuas chaves.

Por isso os assistentes de IA tornaram-se alvo. Têm mais permissões do que qualquer outro software. Acesso a sistemas de ficheiros, navegadores, email, carteiras, APIs. São executores automatizados com privilégios de administrador. Uma vez comprometidos, é como se os atacantes controlassem toda a tua computador.

Se o teu assistente de IA estiver infetado, os riscos são reais. Uma frase mnemónica comprometida significa controlo total da carteira. Os atacantes podem restaurá-la e transferir todos os teus ativos. Ou tomar controlo da tua conta de troca: entrar com as tuas credenciais, alterar configurações de segurança, retirar fundos. As chaves de API roubadas permitem executar operações maliciosas. E se comprometerem o teu email, comprometem múltiplas contas porque o email é a base de toda a segurança da conta.

Então, o que fazer? Primeiro, nunca guardes frases seed ou chaves privadas em ferramentas de IA. Nada de as inserir em chats, nada de as guardar em ficheiros de texto. Usa armazenamento offline e carteiras de hardware. Não permitas que ferramentas de IA acedam a ficheiros de carteira.

Segundo, usa um dispositivo separado para operações críticas. Não instales ferramentas de IA experimentais no mesmo dispositivo onde operas. Mantém os dispositivos separados.

Terceiro, cuidado com que plugins instalas. Especialmente plugins de fontes não oficiais ou projetos do GitHub não verificados. Os atacantes usam plugins falsos e ferramentas falsas para implantar malware. Se precisares de usar chaves de API, restringe as permissões e desactiva retiradas.

Quarto, ativa todas as camadas de segurança disponíveis. Palavra-passe de login, palavra-passe de trading, autenticação de dois fatores, Passkey. Cada camada adicional reduz riscos.

E por fim, verifica regularmente a segurança do teu dispositivo. Revisa que software está instalado, que extensões tem o teu navegador, se há atividade de login anormal.

A realidade é que qualquer software com permissões de sistema pode tornar-se num ponto de entrada para ataques. E no crypto, uma vez que os teus dados de carteira ou credenciais são comprometidos, os ativos podem perder-se permanentemente. Não é paranoia, é bom senso.