O APK de um grupo de alpha no Telegram

Junho 2025. Uma titular em Salvador entra num grupo de Telegram "Binance Futures Signals" recomendado por um amigo do Discord. A mensagem fixada inclui um link de download de APK para "Binance Pro Mobile" com "taxas menores e pares de futuros exclusivos". Ela sideload no celular Android, faz login com as credenciais reais da Binance Brasil, e passa o 2FA por SMS. O app é um clone perfeito — mesma UI, cores, animações. Duas horas depois, a conta Binance real mostra saldo zero.

Como clones sideloaded funcionam

O APK falso encaminha toda credencial, código 2FA e API key para o servidor do operador em tempo real. A usuária vê uma interface funcionando; o operador vê uma sessão ao vivo na conta real. SMS 2FA não ajuda — o app falso intercepta o código no mesmo dispositivo.

As três regras do Android

  • Nunca faça sideload de um app financeiro. Instale pelo link da loja que aparece no site oficial da exchange, aberto por um endereço que você digitou ou salvou nos favoritos. A Play Store tem problemas, mas pelo menos o binário foi escaneado. APKs de Telegram, Discord ou Reddit pulam todas as camadas de proteção.
  • Mantenha a instalação de apps desconhecidos desligada. No Android atual é uma permissão por app, normalmente em Configurações → Apps → Acesso especial a apps → Instalar apps desconhecidos (o caminho muda conforme o fabricante); confira que nenhum navegador ou app de mensagens está liberado. A opção foi criada para quem gosta de fuçar, não para usuários comuns com dinheiro no app.
  • Use chave de segurança em hardware, não SMS. Uma YubiKey ou token em hardware não pode ser interceptada por app malicioso no mesmo dispositivo. SMS, códigos de authenticator e mesmo alguns 2FAs baseados em push podem — uma vez comprometido o dispositivo, todo 2FA residente em software está comprometido também.

Se já sideloadou

Assuma o dispositivo totalmente comprometido. Se ainda consegue entrar na conta da exchange por um aparelho limpo e não sabe o que o atacante já fez, procure nas configurações de segurança a opção de desativar ou bloquear a conta e use-a. Mude as credenciais de toda conta já logada nesse celular — exchange, email, banco, gerenciador de senhas — usando outro dispositivo que nunca tocou o APK. Reset de fábrica do Android. Se apps bancários estavam nele, ligue para a central antifraude do banco direto (não desse celular). Antes de apagar qualquer coisa, guarde o arquivo APK, o link do grupo no Telegram e os hashes das transações, e leve tudo ao registrar o boletim de ocorrência.

O padrão

"Pares de futuros exclusivos", "taxas menores", "sinais VIP" — essas são palavras-isca. O app Binance real tem as mesmas taxas para todo mundo no mesmo tier. Se um grupo de Telegram está oferecendo algo só que eles podem dar acesso, o algo é o acesso à sua conta.