Criadores de carteira Electrum Pro são pegos roubando frases SEED de usuários

A equipe de desenvolvedores da popular carteira de Bitcoin, Electrum, publicou evidências de que o aplicativo Electrum Pro é fraudulento e atua roubando frases SEED dos usuários.

O documento postado no GitHub contém uma instrução passo a passo sobre a decompilação do Electrum Pro, surgido em março. Além do fato de que o novo aplicativo claramente utiliza uma marca alheia sem permissão, seus criadores também lançaram o site electrum.com, muito parecido com à página original electrum.org.

A equipe da Electrum apresentou fortes evidências de desonestidade dos desenvolvedores da Electrum Pro: uma porção do código da carteira (linhas 223-248 em electrumpro_keystore.py), conta com uma função de copiar frases SEED personalizadas e as envia ao domínio electrum.com.

Vale notar que essas chaves criptográficas permitem que um aplicativo acesse o conteúdo de endereços de Bitcoin vinculados a carteiras específicas. Ao enviar frases SEED para o site eletrum.com, seus proprietários podem utilizá-las para retirar criptomoedas das respectivas contas.

De acordo com os desenvolvedores da Electrum, ao criar ou restaurar uma carteira Electrum Pro, uma cópia das frases SEED é sempre enviada automaticamente ao portal electrum.com.

“Nos já tínhamos alertado os usuários sobre a Electrum Pro, mas naquela época, não tínhamos provas formais”, acrescentou um representante da Electrum.

Os desenvolvedores observaram que apenas os arquivos binários Electrumpro-4.0.2.dmg (macOS) e ElectrumPro-4.0.2-Standalone.zip (Windows) foram analisados, sendo que “com um certo grau de certeza, pode-se supor que o restante dos arquivos para Windows também é malicioso”.

Os usuários que armazenaram seus fundos através do Electrum Pro são aconselhados a transferir suas moedas a novas carteiras o mais rápido possível. Note, contudo, que nenhum roubo de Bitcoins das carteiras Electrum Pro foi relatado.

Lembramos que em 20 de abril, os desenvolvedores da Electrum lançaram a versão 3.1.3 de sua carteira de Bitcoin – uma das peculiaridades da versão anterior era que os usuários do aplicativo em dispositivos Android deveriam inserir o código PIN já durante a inicialização.