Google iniciou uma ampla implantação de um novo recurso de segurança do Chrome que vincula sessões de login ao hardware do dispositivo, uma mudança importante para quem mantém carteiras de criptomoedas.
Key Points:
- Google released Device Bound Session Credentials, which lock browser session cookies to a computer's security chip.
- The protection blocks a common attack that lets thieves bypass two-factor (2FA) logins by stealing cookies.
- Crypto users face added risk, since infostealer malware routinely targets wallets and exchange sessions.
Como o Chrome agora protege cookies de login
Reports this week detailed the wide release of Device Bound Session Credentials, known as DBSC, after months of testing across Chromium browsers.
A ferramenta agora alcança a maioria dos usuários, de contas Workspace e Enterprise a contas pessoais. Ela associa cada login a uma chave criptográfica que nunca sai do dispositivo.
Um cookie de sessão funciona como uma pulseira em um evento com ingresso, permitindo que um site lembre o login sem pedir senha ou código de dois fatores a cada visita.
Criminosos valorizam esses arquivos porque um cookie roubado pode bypass completamente essa segunda camada, e esses tokens muitas vezes são vendidos em mercados da dark web. O DBSC armazena a chave em um Trusted Platform Module do Windows ou em um Secure Enclave do Mac, e então força o navegador a provar que possui essa chave antes de qualquer renovação de cookie.
O resultado é um cookie que se torna inútil em outra máquina.
Também leia: Kalshi Wins CFTC Approval For First U.S. Bitcoin Perpetual Futures
Por que traders de cripto deveriam se importar
Para usuários de cripto, uma sessão sequestrada pode significar fundos drenados, em vez de apenas uma caixa de e-mail invadida. Malwares de roubo de informações agora coletam cookies de navegador, senhas salvas e arquivos de carteira em uma única varredura antes de enviá-los a um servidor remoto.
Uma análise found que o roubo de credenciais esteve presente em cerca de um terço das intrusões rastreadas no ano passado, mostrando como essa tática se tornou rotineira.
O mercado também se tornou industrializado, com pesquisadores flagging um ladrão por assinatura chamado Storm, que custa menos de US$ 1.000 por mês e mira carteiras por meio de extensões de navegador e aplicativos de desktop.
Outras variantes watch por sessões ligadas à Binance, Coinbase, MetaMask e Trust Wallet, e então capturam o cookie para entrar em uma conta sem senha.
A longa jornada do DBSC até os usuários
O Google primeiro unveiled o DBSC em 2024, antes de movê-lo para um beta público e depois para lançamento geral no Chrome 146 e posteriores para Windows, com a versão 148 e posteriores cobrindo o Mac.
A empresa enabled o recurso por padrão para contas Workspace, onde administradores não podem desativá-lo. Para traders que deixam abas de corretoras e extensões de carteira abertas o dia todo, a atualização fecha silenciosamente uma das rotas mais simples até o dinheiro deles.
Leia a seguir: Dogecoin Reserves Edge Up To 28B As Whale Support Stays Weak