Ataque à Cadeia de Suprimentos Polyfill Afetando 100 Mil Sites Ligado à Coreia do Norte

O ataque à Polyfill.io não foi um incidente isolado de injeção maliciosa, mas uma operação coordenada de espionagem e lavagem de criptomoedas com assinatura norte-coreana. A aquisição da CDN Funnull em fevereiro de 2024 serviu como cobertura para assumir o controle técnico do domínio, com acesso confirmado ao DNS e ao tenant Cloudflare após a infecção por LummaC2 em 6 de agosto de 2024. O redirecionamento massivo para sites do Suncity Group não era só para geração de receita publicitária: era um canal estruturado para reintroduzir criptomoedas roubadas no fluxo financeiro global, aproveitando a alta rotatividade de tráfego legítimo de mais de 100 mil sites.

Além disso, a descoberta do agente 'Ariel Cruz' dentro da Gate.us revela uma nova camada de ameaça: a infiltração direta em exchanges para manipular controles de conformidade (AML/KYC) por dentro. Isso permite não apenas lavar fundos, mas também mapear falhas de segurança antes que sejam corrigidas, como visto na exfiltração de projetos sensíveis do NIMS do Japão. O uso de um gateway automatizado no Telegram para lavagem de USDT confirma que a operação já está escalada, com pouca dependência de intervenção humana.

Esse caso mostra que cadeias de suprimentos de código aberto não são alvos secundários, são pontos críticos de ruptura sistêmica. Um único script de compatibilidade, incorporado por centenas de milhares de sites, virou vetor para lavagem de bilhões. Para empresas brasileiras que usam CDNs ou bibliotecas de terceiros, o risco não é teórico: é operacional, regulatório e financeiro. A ANPD pode enquadrar falhas nesse tipo de dependência como descumprimento do art. 46 da LGPD, por ausência de due diligence em fornecedores de processamento de dados. E, com a ameaça quântica realista, menos de 500 mil qubits já seriam suficientes para quebrar a criptografia ECDSA usada pela Gate.io , , a vulnerabilidade se torna estrutural, não pontual.