Um pequeno teste. Cinco perguntas. Responda mentalmente antes de ler as respostas. Sem pegadinhas de vocabulário, apenas situações que realmente encontramos ao usar uma carteira como MetaMask, Trust Wallet ou Phantom.

Por que falar sobre isso? Porque a maioria das carteiras esvaziadas em 2025 não foi vítima de um «hacker genial». Elas foram esvaziadas por uma assinatura. O relatório anual da Scam Sniffer contabiliza 83,85 milhões de dólares roubados por «drainers» (sites maliciosos que fazem você assinar algo que não deveria) em redes compatíveis com Ethereum, e 106 106 vítimas. O maior roubo do ano: 6,5 milhões de dólares, em setembro, com uma única assinatura do tipo Permit.

PERGUNTA 1

Um site pede que você «aprove» seu USDT antes de uma troca. A carteira mostra «quantidade ilimitada». Isso é normal?

A) Sim, sem risco

B) É comum, mas isso dá ao contrato o direito de movimentar TODOS os seus USDT, agora e no futuro

PERGUNTA 2

Você assina uma mensagem, não uma transação. Não há taxa de rede. Então nada pode sair da carteira?

A) Exatamente, sem taxa nada se move

B) Errado

PERGUNTA 3

Você usou um site de farming há um ano e se esqueceu dele. Hoje, ele foi hackeado. Sua carteira está em risco?

A) Não, não me conecto mais a ele

B) Talvez, se a autorização concedida na época ainda estiver ativa

PERGUNTA 4

Um token desconhecido aparece na sua carteira com um link: «resgate sua recompensa». O que você faz?

A) Clico, é grátis

B) Ignoro

PERGUNTA 5

A carteira mostra uma tela cheia de códigos ilegíveis. O site pressiona você: «assine rápido, a oferta expira».

A) Assino, o site parece oficial

B) Fecho a aba

Respostas — e é aqui que a coisa fica interessante.

1 → B. Uma aprovação (também chamada de «allowance») é uma permissão que você concede a um contrato para gastar seu token por você. Muitos aplicativos pedem uma quantidade ilimitada para evitar que você tenha de pagar taxas novamente a cada uso. É prático, desde que o contrato seja confiável e nunca seja hackeado. Sempre que puder, defina apenas a quantidade de que precisa.

2 → B. Este é o ponto que quase ninguém conhece. As assinaturas «Permit» e «Permit2» são mensagens gratuitas para assinar… que valem como autorização de gasto. Depois, o atacante paga as taxas e esvazia a carteira do token em questão. Segundo a Scam Sniffer, Permit e Permit2 representam 38% das perdas em roubos de mais de um milhão de dólares em 2025. Grátis não quer dizer inofensivo.

3 → B. Uma autorização não desaparece quando você fecha a aba. Ela permanece registrada na blockchain até que você a revogue. Ferramentas como o verificador de autorizações da Etherscan ou da BscScan, ou o revoke.cash, mostram a lista e permitem revogá-las (isso custa uma pequena taxa de rede, o que é normal).

4 → B. Os «airdrops» surpresa que levam a um site de resgate são um clássico. O token serve de isca, e o site serve para fazer você assinar algo. Enquanto você não fizer nada, esse token não pode tirar nada de você.

5 → B. A urgência é a ferramenta favorita dos golpistas. Se você não entende o que está assinando, não assine. As carteiras mais recentes exibem cada vez mais alertas em linguagem clara: leia-os em vez de fechá-los.

O que concluo depois de analisar esse relatório: as perdas caíram 83% em relação a 2024, sinal de que as carteiras e os alertas estão melhorando. Mas os atacantes se adaptam rápido. Logo após a atualização Pectra do Ethereum, eles exploraram o EIP-7702 para agrupar várias ações maliciosas em uma única assinatura: 2,54 milhões de dólares perdidos em agosto de 2025 em dois casos. O elo mais fraco continua sendo aquele clique a mais em $ETH, tanto na BNB Chain quanto em outros lugares. No $SOL o mecanismo de aprovação é diferente, mas o princípio «assino sem ler» esvazia carteiras do mesmo jeito.

Dica prática: mantenha uma carteira de «saída» com poucos fundos para testar novos aplicativos, e suas economias em outra que você quase nunca conecta.

E aí, qual foi sua pontuação de 5? E você realmente sabia a resposta da pergunta 2?

Fonte: Scam Sniffer, relatório anual de 2025 sobre phishing de cripto. Conteúdo educativo, não é um conselho financeiro.

#CryptoSecurity #Web3Wallet #Phishing #CryptoEducation #Binance