Safew é uma aplicação de comunicação privada cujo funcionamento principal é semelhante ao Telegram, baseada na tecnologia de criptografia do Telegram (protocolo MTProto). Mensagens, voz, vídeo e ficheiros são encriptados durante toda a transmissão, podendo ser visualizados apenas pelos participantes do chat, sem possibilidade de leitura por parte do servidor. Algumas empresas, por motivos de privacidade, optam por uma implementação privada, controlando totalmente os dados ou evitando auditorias de conformidade.

Devido à crescente cooperação policial e ao bloqueio de grupos no Telegram, a maior plataforma de garantia de transações ilegais de criptomoedas no Sudeste Asiático — Xinbi Guarantee — está a tentar migrar os seus grupos públicos para Safew, o que tem levado ao aumento de aplicações falsas de Safew, representando uma ameaça à segurança dos fundos criptográficos de operadores de grupos públicos e de atividades ilícitas.

Este artigo visa divulgar parcialmente esta situação de conflito interno.

Linha do Tempo

Em 13 de maio de 2025, horário de Pequim, as duas maiores plataformas ilegais de troca de criptomoedas no Sudeste Asiático — HaoWang Guarantee e Xinbi Guarantee — foram sancionadas oficialmente pelo Telegram. Muitas contas de atendimento ao cliente e grupos públicos de negócios foram banidos, interrompendo temporariamente as operações e causando pânico generalizado na comunidade ilícita.

As duas entidades responderam de formas diferentes:

Na manhã de 13 de maio, HaoWang Guarantee anunciou a suspensão das operações e entregou todos os seus grupos públicos à Potato Guarantee, uma entidade relacionada que tinha recebido um investimento de 30% da HaoWang anteriormente. Com uma aparência de falência, HaoWang Guarantee conseguiu uma saída estratégica, rebatizando-se como Potato Guarantee e continuando a sua atividade ilegal.

Em 14 de maio, Xinbi Guarantee atualizou o conteúdo da sua página principal xinbi[.]com, anunciando a ativação oficial do grupo público Safew para contornar o bloqueio do Telegram às suas atividades ilegais. Apesar do conteúdo do site ter sido removido, ainda é possível encontrar vestígios através de arquivos arquivados na web.

Imediatamente, a comunidade de atividades ilícitas começou a criticar Xinbi Guarantee por lançar Safew, alegando que o objetivo era roubar os ativos criptográficos dos utilizadores. Essas discussões negativas atingiram o pico no início de 2026, após o encerramento completo do Potato Guarantee e a aceleração na migração dos grupos públicos do Xinbi Guarantee.

Sites falsos de Safew em circulação

Apesar de Xinbi Guarantee reiterar que o endereço correto para download do Safew é oficial e afirmar que o aplicativo já está disponível na loja da Apple, há muitos grupos criminosos a criar sites falsos de download de Safew, contaminando os resultados de pesquisa e promovendo versões não oficiais.

Um exemplo é o link não oficial safew-x[.]com. Ao analisar essa amostra com a ferramenta de sandbox de segurança online ANY.RUN (link de download: [.].com/_dl.php?t=win), foram detectadas atividades maliciosas.

Após a execução, a amostra libera uma variante do Gh0stRAT SweetSpecter (um Trojan de acesso remoto completo), estabelecendo comunicação com um servidor C2, ativando regras de ameaças emergentes:

• ET MALWARE [ANY.RUN] Gh0stRAT.Gen Server Response (SweetSpecter)
• ET DROP Spamhaus DROP Listed Traffic Inbound group 2

Este malware possui capacidades de acesso remoto, gravação de teclado, roubo de ficheiros, entre outras. Após infetar o dispositivo, o atacante consegue controlar completamente a máquina, incluindo acesso ao desktop remoto, gravação de teclado, monitorização de câmeras/microfones, roubo e transmissão de ficheiros, execução de comandos arbitrários e instalação de ferramentas maliciosas adicionais. Uma vez infetado, o sistema pode permanecer oculto por longos períodos, roubando dados sensíveis — classificado como um Trojan de acesso remoto de alto risco (RAT).

Para muitos operadores e utilizadores de grupos públicos que gerenciam carteiras de criptomoedas para atividades ilícitas, este tipo de malware representa uma ameaça direta às suas chaves privadas armazenadas nos dispositivos.

Análise do negócio de grupos públicos Safew do Xinbi Guarantee

A Bitrace monitoriza há muito tempo as atividades financeiras do Xinbi Guarantee. Uma investigação às carteiras de depósito nos grupos Safew revelou que, embora o Xinbi Guarantee tenha lançado oficialmente o grupo Safew em maio de 2025, só em agosto do mesmo ano foi atribuído um endereço de negócio separado para esse serviço, com uma escala relativamente baixa que diminuiu mês a mês.

Até ao final de 2025 e início de 2026, com o colapso do HuiWang Pay e do Potato Guarantee, o Xinbi Guarantee intensificou a promoção do seu serviço Safew, levando a um aumento na atividade dos endereços. Em janeiro de 2026, atingiu temporariamente uma entrada de fundos superior a 32 milhões de USDT num único mês, mas essa quantidade foi diminuindo progressivamente.

Após análise de todas as carteiras de depósito do Xinbi Guarantee, constatou-se que o volume de depósitos no canal Safew num mês equivale apenas ao volume de um dia no canal Telegram, indicando que o Telegram continua a ser a principal plataforma para os operadores ilícitos do Xinbi Guarantee.

Considerações finais

Na realidade, as atividades ilícitas de roubo interno — desde carteiras falsas até ataques físicos a carteiras de criptomoedas, passando por engenharia social online — são frequentes. Este grupo que opera fora da lei está a tornar-se alvo de ataques constantes.

Após o colapso do Potato Guarantee, o Xinbi Guarantee tornou-se a maior plataforma de garantia de transações ilegais de criptomoedas no Sudeste Asiático. As atividades de phishing contra os operadores de grupos públicos do Safew não começaram agora, e ainda não terminaram.

A Bitrace continuará a monitorizar esta situação.