Anúncio fixado se passa pelo Trezor Suite; quem digita a frase-semente fica sem fundos em poucos minutos
No fim de outubro, alguém pesquisou Trezor Suite no Google. Acima dos resultados legítimos, havia um anúncio. Ao clicar, a pessoa era direcionada a uma página de software de carteira muito parecida com a original, hospedada às vezes em um domínio próprio e, outras vezes, escondida em uma página do Google Sites. A página pedia que o usuário digitasse a frase-semente, supostamente para recuperar a carteira. Quem digitou descobriu, poucos minutos depois, que o saldo havia desaparecido.
Até agora, há apenas 5 denúncias desse golpe no Chainabuse, vindas de vários países. Uma delas afirma que a vítima já registrou queixa à polícia na República Tcheca. As perdas envolveram bitcoin, ether e stablecoins. A ferramenta de análise on-chain Coinator rastreou apenas a parte em bitcoin, e o volume identificado foi muito maior do que o mencionado nas denúncias.
O dinheiro não foi diretamente para carteiras dos golpistas: primeiro, foi enviado a dois endereços fixos de recebimento. O primeiro recebeu 39 transações, num total de 3.32 bitcoins, entre 27 e 31 de outubro. A maior transação individual, mencionada em uma das denúncias, passou de 0.2 bitcoin. O segundo endereço não aparece em nenhuma denúncia, mas recebeu 56 transações, num total de 8.17 bitcoins — mais que o dobro do primeiro. Juntos, os dois endereços receberam cerca de 95 transações, totalizando 11.49 bitcoins.
Em 31 de outubro, às 15:57 UTC, o segundo endereço foi esvaziado de uma só vez por uma transação com 56 entradas. Doze minutos depois, o primeiro endereço também foi esvaziado por uma transação com 33 entradas. Os dois valores foram enviados para o mesmo endereço intermediário. Esse endereço recebeu um total de 21.62 bitcoins; o valor excedente veio de depósitos anteriores. A avaliação da Coinator é que o grupo já havia recebido fundos semelhantes antes. A partir das 17:12 UTC daquele dia, o endereço intermediário começou a enviar os fundos em partes: primeiro 2.0 bitcoins, depois 2.86 e, por fim, 1.54. As taxas das três transações foram exatamente iguais: 564 satoshis. A versão, o tempo de bloqueio e o indicador de substituição também eram idênticos, o que mostra claramente que elas vieram da mesma carteira.
Das três quantias enviadas, as de 2.0 e 2.86 bitcoins ainda estavam nos endereços originais em 3 de novembro. Já a quantia de 1.54 bitcoin foi movimentada naquela noite em três etapas: primeiro, uma transferência de teste de 0.01 bitcoin; depois, 0.5; e, por fim, 1.03. Cada etapa passou por um endereço intermediário e, no final, tudo foi parar na carteira quente de um mesmo serviço de custódia. Desde fevereiro de 2025, essa carteira quente já teve cerca de 139 mil transações, movimentou aproximadamente 37 mil bitcoins e está vinculada a 162 mil endereços de depósito, quase todos usados uma única vez. Em agosto, a mesma carteira quente também recebeu fundos de um golpe de falso suporte da Kraken; no fim de outubro, foi o destino final de outro caso na Argentina. Três golpes diferentes, um mesmo destino para o dinheiro.
Há um detalhe aqui que pode facilmente levar a uma pista errada. A transferência de teste de 0.01 bitcoin chegou a um endereço de depósito. Algumas horas depois, esse endereço foi gasto junto com outros 8 endereços de depósito e 2 entradas da própria carteira quente, e 0.29 bitcoin foi enviado para um novo endereço. À primeira vista, parece que os golpistas recuperaram o dinheiro e ainda aumentaram o valor. Na verdade, foi um pagamento do serviço de custódia a um cliente. Os endereços de depósito e a carteira quente pertencem ao serviço; assim que o dinheiro entra no serviço, deixa de importar quem fez o depósito original. Se você seguir a carteira quente pensando que ela pertence aos golpistas, vai acabar perseguindo as pessoas erradas. O que realmente deve ser registrado são os dois endereços de recebimento dos golpistas.
Para quem investe no varejo, a lição é bem concreta. O software da carteira deve ser baixado apenas do site oficial do fabricante; anúncios que aparecem no topo dos resultados de busca devem ser considerados falsos por padrão. Se uma página pedir sua frase-semente, feche-a imediatamente. Se alguém pedir a frase-semente por telefone, desligue na hora. Assim que ela é digitada em uma página falsa, é como se a carteira já tivesse sido entregue. Use um dispositivo limpo para criar uma nova carteira com uma nova frase-semente e transfira o quanto antes o dinheiro que ainda restar. E não deixe de denunciar: as 5 denúncias mostram apenas a ponta do iceberg. Cada nova denúncia aumenta a chance de os endereços de recebimento serem identificados.
Minha conclusão é simples: antes de baixar uma carteira, confira o domínio oficial. Ignore anúncios fixados. Essa pequena pausa é mais eficaz do que tentar rastrear as transações depois.
Quando você baixa um software de carteira, clica direto no resultado da busca ou primeiro confere o domínio oficial?
—— web3韭菜小凯
Este texto expressa apenas uma opinião pessoal e não constitui recomendação de investimento. As informações têm como fonte a análise on-chain da Coinator de 3 de novembro e os registros de denúncias do Chainabuse.
#Trezor #防骗 #助记词 #RastreamentoOnchain
No fim de outubro, alguém pesquisou Trezor Suite no Google. Acima dos resultados legítimos, havia um anúncio. Ao clicar, a pessoa era direcionada a uma página de software de carteira muito parecida com a original, hospedada às vezes em um domínio próprio e, outras vezes, escondida em uma página do Google Sites. A página pedia que o usuário digitasse a frase-semente, supostamente para recuperar a carteira. Quem digitou descobriu, poucos minutos depois, que o saldo havia desaparecido.
Até agora, há apenas 5 denúncias desse golpe no Chainabuse, vindas de vários países. Uma delas afirma que a vítima já registrou queixa à polícia na República Tcheca. As perdas envolveram bitcoin, ether e stablecoins. A ferramenta de análise on-chain Coinator rastreou apenas a parte em bitcoin, e o volume identificado foi muito maior do que o mencionado nas denúncias.
O dinheiro não foi diretamente para carteiras dos golpistas: primeiro, foi enviado a dois endereços fixos de recebimento. O primeiro recebeu 39 transações, num total de 3.32 bitcoins, entre 27 e 31 de outubro. A maior transação individual, mencionada em uma das denúncias, passou de 0.2 bitcoin. O segundo endereço não aparece em nenhuma denúncia, mas recebeu 56 transações, num total de 8.17 bitcoins — mais que o dobro do primeiro. Juntos, os dois endereços receberam cerca de 95 transações, totalizando 11.49 bitcoins.
Em 31 de outubro, às 15:57 UTC, o segundo endereço foi esvaziado de uma só vez por uma transação com 56 entradas. Doze minutos depois, o primeiro endereço também foi esvaziado por uma transação com 33 entradas. Os dois valores foram enviados para o mesmo endereço intermediário. Esse endereço recebeu um total de 21.62 bitcoins; o valor excedente veio de depósitos anteriores. A avaliação da Coinator é que o grupo já havia recebido fundos semelhantes antes. A partir das 17:12 UTC daquele dia, o endereço intermediário começou a enviar os fundos em partes: primeiro 2.0 bitcoins, depois 2.86 e, por fim, 1.54. As taxas das três transações foram exatamente iguais: 564 satoshis. A versão, o tempo de bloqueio e o indicador de substituição também eram idênticos, o que mostra claramente que elas vieram da mesma carteira.
Das três quantias enviadas, as de 2.0 e 2.86 bitcoins ainda estavam nos endereços originais em 3 de novembro. Já a quantia de 1.54 bitcoin foi movimentada naquela noite em três etapas: primeiro, uma transferência de teste de 0.01 bitcoin; depois, 0.5; e, por fim, 1.03. Cada etapa passou por um endereço intermediário e, no final, tudo foi parar na carteira quente de um mesmo serviço de custódia. Desde fevereiro de 2025, essa carteira quente já teve cerca de 139 mil transações, movimentou aproximadamente 37 mil bitcoins e está vinculada a 162 mil endereços de depósito, quase todos usados uma única vez. Em agosto, a mesma carteira quente também recebeu fundos de um golpe de falso suporte da Kraken; no fim de outubro, foi o destino final de outro caso na Argentina. Três golpes diferentes, um mesmo destino para o dinheiro.
Há um detalhe aqui que pode facilmente levar a uma pista errada. A transferência de teste de 0.01 bitcoin chegou a um endereço de depósito. Algumas horas depois, esse endereço foi gasto junto com outros 8 endereços de depósito e 2 entradas da própria carteira quente, e 0.29 bitcoin foi enviado para um novo endereço. À primeira vista, parece que os golpistas recuperaram o dinheiro e ainda aumentaram o valor. Na verdade, foi um pagamento do serviço de custódia a um cliente. Os endereços de depósito e a carteira quente pertencem ao serviço; assim que o dinheiro entra no serviço, deixa de importar quem fez o depósito original. Se você seguir a carteira quente pensando que ela pertence aos golpistas, vai acabar perseguindo as pessoas erradas. O que realmente deve ser registrado são os dois endereços de recebimento dos golpistas.
Para quem investe no varejo, a lição é bem concreta. O software da carteira deve ser baixado apenas do site oficial do fabricante; anúncios que aparecem no topo dos resultados de busca devem ser considerados falsos por padrão. Se uma página pedir sua frase-semente, feche-a imediatamente. Se alguém pedir a frase-semente por telefone, desligue na hora. Assim que ela é digitada em uma página falsa, é como se a carteira já tivesse sido entregue. Use um dispositivo limpo para criar uma nova carteira com uma nova frase-semente e transfira o quanto antes o dinheiro que ainda restar. E não deixe de denunciar: as 5 denúncias mostram apenas a ponta do iceberg. Cada nova denúncia aumenta a chance de os endereços de recebimento serem identificados.
Minha conclusão é simples: antes de baixar uma carteira, confira o domínio oficial. Ignore anúncios fixados. Essa pequena pausa é mais eficaz do que tentar rastrear as transações depois.
Quando você baixa um software de carteira, clica direto no resultado da busca ou primeiro confere o domínio oficial?
—— web3韭菜小凯
Este texto expressa apenas uma opinião pessoal e não constitui recomendação de investimento. As informações têm como fonte a análise on-chain da Coinator de 3 de novembro e os registros de denúncias do Chainabuse.
#Trezor #防骗 #助记词 #RastreamentoOnchain
