Malware em drivers da Procolored: Como impressoras chinesas estão facilitando o roubo de Bitcoin globalmente

O ataque, descrito por especialistas como uma forma altamente sofisticada de “clipboard hijacking”, aproveita-se de algo que poucos usuários suspeitam: um driver de impressora.

Com o uso de dispositivos USB infectados e uploads em plataformas como o MEGA, o malware foi disseminado globalmente, alertando especialistas sobre a fragilidade das rotinas de segurança digital.

Leia mais:

Bitcoin recua para US$ 102 mil após rebaixamento da nota de crédito dos EUA abalar confiança global

O que é a Procolored e por que isso importa?

A Procolored é uma fabricante chinesa especializada em impressoras de sublimação, UV e DTF, com sede em Shenzhen. Embora pouco conhecida fora de nichos técnicos, a empresa conquistou espaço no mercado internacional com produtos acessíveis, sendo adotada por pequenas empresas, estúdios de impressão e até por consumidores domésticos.

Como ela se tornou o centro de um escândalo

Segundo a mídia chinesa Landian News, a empresa passou a distribuir drivers contendo código malicioso a partir de outubro de 2023, sem alertar seus usuários. O malware permaneceu ativo até pelo menos maio de 2025, afetando centenas ou milhares de dispositivos.

Como o malware foi descoberto?

O alerta não partiu de um laboratório de cibersegurança, mas sim de um criador de conteúdo técnico. O YouTuber Cameron Coward, ao testar uma impressora UV da Procolored, percebeu que seu antivírus estava detectando um vírus tipo Trojan (Foxif) e um worm ao tentar instalar os drivers da impressora.

Desconfiado de que não se tratava de um “falso positivo”, Coward levou o caso ao Reddit, onde profissionais de segurança digital se mobilizaram para analisar os arquivos.

Confirmação técnica: malware e roubo de BTC

A investigação foi levada adiante pela empresa de segurança G-Data, que confirmou a presença de dois malwares distintos:

• Win32.Backdoor.XRedRAT.A: permite controle remoto total do dispositivo;
• Clipboard hijacker (ladrão de criptoativos): substitui o endereço de carteiras de Bitcoin copiadas pelo usuário por um endereço malicioso.

Esses arquivos estavam disponíveis publicamente no serviço de hospedagem MEGA, sendo baixados por usuários de todo o mundo sem qualquer verificação de segurança.

O golpe: como mais de US$ 950 mil em Bitcoin foram desviados

A técnica usada pelo malware é conhecida como clipboard hijacking, ou sequestro da área de transferência. Ao detectar que o usuário copiou um endereço de carteira Bitcoin (sequência alfanumérica padrão), o programa automaticamente substitui esse endereço por um pertencente ao atacante.

Como muitos usuários colam o endereço diretamente sem verificar, a transação acaba sendo direcionada para o criminoso — e não há como reverter a operação na rede Bitcoin.

Números do ataque

De acordo com a empresa SlowMist, especializada em rastreamento de criptoativos, o golpe já resultou no desvio de 9,3 BTC, o equivalente a mais de US$ 950 mil (considerando o preço do Bitcoin no momento do ataque). O endereço de destino usado pelo malware foi identificado e está sendo monitorado.

Comprometimento da cadeia de suprimentos: uma ameaça invisível

A Procolored alega que o malware foi inserido por meio de dispositivos USB infectados utilizados por funcionários ou parceiros da cadeia de montagem, e que os arquivos foram carregados “sem saber” para o armazenamento em nuvem oficial.

Esse tipo de ataque é um comprometimento da cadeia de suprimentos — ou seja, o software legítimo foi modificado antes de chegar ao consumidor final, sem que a empresa percebesse (ou admitisse).

Ataques similares no passado

Este não é um caso isolado. Ataques de supply chain notórios incluem:

• Caso SolarWinds (2020): espionagem em massa de agências governamentais dos EUA;
• CCleaner (2017): ferramenta popular de limpeza de PCs distribuiu malware por meio de atualizações oficiais;
• Kaseya (2021): ransomware atingiu mais de 1.500 empresas.

A semelhança com o caso Procolored é clara: os usuários confiam em software assinado e, por isso, baixam e instalam sem desconfiança.

Como saber se você foi infectado?

1. Baixou drivers da Procolored desde 2023?

Se você utilizou produtos da Procolored e instalou drivers entre outubro de 2023 e maio de 2025, é altamente recomendável realizar uma varredura completa do sistema.

2. Sua carteira Bitcoin foi usada recentemente?

Verifique o histórico de transações para saber se algum envio foi feito para endereços desconhecidos. Você pode rastrear seus envios usando exploradores de blocos como:

• Blockchain.com Explorer
• Mempool.space

3. Seu antivírus detecta algo suspeito?

Mesmo que os antivírus identifiquem ameaças, alguns malwares sofisticados podem escapar da detecção. Por isso, a recomendação mais segura é reinstalar o sistema operacional, principalmente se você manipulou valores em criptomoedas.

Resposta da Procolored e atualizações do caso

Inicialmente, a Procolored afirmou que os alertas eram “falsos positivos”. Após ser confrontada com provas técnicas e relatórios de empresas como a G-Data e SlowMist, a fabricante reconheceu o incidente e afirmou:

“Os drivers infectados foram removidos do armazenamento em nuvem em 8 de maio. Realizamos novas varreduras em todos os arquivos disponíveis.”

Medidas prometidas

• Implementar uma nova política de controle de arquivos USB;
• Verificar a integridade dos arquivos por hash digital;
• Criar um canal de downloads com verificação por assinatura digital.

No entanto, nenhuma compensação às vítimas foi anunciada até o momento.

Como se proteger contra ameaças similares

• Nunca confie cegamente em software de hardware periférico.
• Verifique o hash de arquivos antes de instalar.
• Utilize um sistema operacional em máquina virtual para manipular criptoativos.
• Prefira carteiras frias (cold wallets) para valores altos.

Para empresas e integradores

• Audite os drivers e softwares utilizados por fornecedores.
• Utilize ferramentas de segurança baseadas em comportamento, não apenas antivírus.
• Faça análises estáticas e dinâmicas de arquivos baixados.

Repercussão global: o que este caso revela sobre o futuro da segurança digital

O caso Procolored é mais um alerta do que já se tornou um problema global: a segurança digital de dispositivos de uso cotidiano está sendo ignorada. Impressoras, roteadores, webcams — qualquer dispositivo conectado à internet pode se tornar uma porta de entrada para ataques de alto impacto.

Em um mundo onde cada vez mais indivíduos controlam ativos digitais significativos como o Bitcoin, o elo fraco da segurança muitas vezes não está na blockchain, mas nos drivers, no hardware e na ingenuidade digital dos usuários.

Considerações finais

O escândalo envolvendo drivers da Procolored mostra como ataques cibernéticos podem ser silenciosos, eficazes e devastadores. Um simples clique em um instalador aparentemente inofensivo pode significar a perda irrecuperável de milhares de dólares em criptoativos.

A lição é clara: confiança cega em fabricantes, mesmo os que oferecem produtos oficiais, é um risco. É hora de adotar posturas mais proativas, tanto por parte dos consumidores quanto das empresas.