Na noite de 16 de outubro, o YouTuber NanoBaiter, especializado em apanhar burlões, publicou um longo fio de 12 partes: um burlão chamado Kemi, de Abuja, na Nigéria, fazia-se passar por MrBeast, Airrack e pelo próprio NanoBaiter, escolhendo como alvos pessoas que «já tinham sido burladas uma vez». As vítimas deixavam comentários nos vídeos a dizer que tinham sido burladas, e o burlão respondia de imediato: «Procura @nanobaiter_team no Telegram». Depois, vendia um suposto «software de recuperação de fundos». O YouTuber entrou no jogo e, enquanto o burlão operava remotamente, reverteu a ligação, ativou a câmara do burlão e encontrou cartões-presente do Google Play e capturas de ecrã de pagamentos em bitcoin. Também descobriu que o dinheiro roubado era branqueado através de mercados peer-to-peer que trocavam cartões-presente por criptomoedas. Por fim, usou o BSSID das redes Wi-Fi próximas, detetadas pelo portátil, para localizar o burlão. As provas já foram entregues à EFCC da Nigéria. A publicação inicial teve mais de 620 mil visualizações, e no X houve mais de 1.200 comentários em meio dia.
O que os burlões mais temem não é a polícia: é a câmara do próprio portátil, sem fita-cola por cima.
Algumas observações técnicas:
1. As transferências na blockchain não têm botão de anular. Depois de confirmada uma transação, nenhum «software de recuperação» ou «hacker da blockchain» consegue trazer o dinheiro de volta. Na prática, só há uma forma de recuperar os fundos: o dinheiro roubado tem de chegar a uma plataforma centralizada com uma equipa de conformidade; a vítima apresenta queixa, e a polícia envia um pedido de assistência para congelar os fundos. Quem cobra primeiro uma taxa, uma caução ou uma «taxa de desbloqueio» para recuperar o dinheiro está a dar-te um segundo golpe.
2. Escrever num comentário público «fui burlado, o endereço é xxx» é o mesmo que colocar-se numa lista de alvos já filtrada: está desesperado, acabou de perder a capacidade de avaliar a situação e está disposto a pagar por esperança. Uma equipa oficial nunca te contactará primeiro por mensagem privada, muito menos te pedirá para passar para o Telegram para conversar em privado. Contas com «team», «support» ou «official» no nome podem, em geral, ser bloqueadas sem hesitar.
3. O acesso remoto funciona nos dois sentidos. Se um burlão te pede para instalar um programa de acesso remoto, como o AnyDesk, para «ajudar a consultar o histórico na blockchain», ao instalá-lo estás a entregar-lhe o computador inteiro, incluindo as extensões da carteira no navegador e as sessões iniciadas nas plataformas de câmbio. Desta vez, o burlão caiu na própria armadilha: até o BSSID dos routers próximos se tornou uma pista. Com os endereços de hardware de alguns routers nas imediações, as bases de dados públicas de localização Wi-Fi conseguem muitas vezes determinar a localização até ao nível de uma rua.
4. Os cartões-presente e a troca de cartões por criptomoedas em mercados peer-to-peer são a forma de saída padrão deste tipo de grupos. Se alguém te pedir para «pagar a taxa de recuperação» com um cartão-presente, isso, por si só, já basta para concluir que é uma burla.
O que costumo fazer: depois de ser burlado, a primeira coisa é exportar o hash da transação, o endereço da outra parte e as capturas de ecrã das conversas e apresentar queixa; ao mesmo tempo, contacto o apoio ao cliente da plataforma para onde foram enviados os fundos roubados e trato do caso pelo canal oficial. Não publico endereços em comentários públicos a pedir ajuda; recuso sempre que desconhecidos me peçam para instalar software de acesso remoto; e, quando recebo uma mensagem privada a oferecer ajuda para «recuperar o dinheiro», parto do princípio de que é o próximo burlão.
O que os burlões mais temem não é a polícia: é a câmara do próprio portátil, sem fita-cola por cima.
Algumas observações técnicas:
1. As transferências na blockchain não têm botão de anular. Depois de confirmada uma transação, nenhum «software de recuperação» ou «hacker da blockchain» consegue trazer o dinheiro de volta. Na prática, só há uma forma de recuperar os fundos: o dinheiro roubado tem de chegar a uma plataforma centralizada com uma equipa de conformidade; a vítima apresenta queixa, e a polícia envia um pedido de assistência para congelar os fundos. Quem cobra primeiro uma taxa, uma caução ou uma «taxa de desbloqueio» para recuperar o dinheiro está a dar-te um segundo golpe.
2. Escrever num comentário público «fui burlado, o endereço é xxx» é o mesmo que colocar-se numa lista de alvos já filtrada: está desesperado, acabou de perder a capacidade de avaliar a situação e está disposto a pagar por esperança. Uma equipa oficial nunca te contactará primeiro por mensagem privada, muito menos te pedirá para passar para o Telegram para conversar em privado. Contas com «team», «support» ou «official» no nome podem, em geral, ser bloqueadas sem hesitar.
3. O acesso remoto funciona nos dois sentidos. Se um burlão te pede para instalar um programa de acesso remoto, como o AnyDesk, para «ajudar a consultar o histórico na blockchain», ao instalá-lo estás a entregar-lhe o computador inteiro, incluindo as extensões da carteira no navegador e as sessões iniciadas nas plataformas de câmbio. Desta vez, o burlão caiu na própria armadilha: até o BSSID dos routers próximos se tornou uma pista. Com os endereços de hardware de alguns routers nas imediações, as bases de dados públicas de localização Wi-Fi conseguem muitas vezes determinar a localização até ao nível de uma rua.
4. Os cartões-presente e a troca de cartões por criptomoedas em mercados peer-to-peer são a forma de saída padrão deste tipo de grupos. Se alguém te pedir para «pagar a taxa de recuperação» com um cartão-presente, isso, por si só, já basta para concluir que é uma burla.
O que costumo fazer: depois de ser burlado, a primeira coisa é exportar o hash da transação, o endereço da outra parte e as capturas de ecrã das conversas e apresentar queixa; ao mesmo tempo, contacto o apoio ao cliente da plataforma para onde foram enviados os fundos roubados e trato do caso pelo canal oficial. Não publico endereços em comentários públicos a pedir ajuda; recuso sempre que desconhecidos me peçam para instalar software de acesso remoto; e, quando recebo uma mensagem privada a oferecer ajuda para «recuperar o dinheiro», parto do princípio de que é o próximo burlão.