Você copia um endereço do histórico da sua carteira. Primeiros caracteres OK, últimos caracteres OK. Você envia. O dinheiro vai embora… para outra pessoa. Não é um bug. Não é um ataque à rede. É uma armadilha chamada envenenamento de endereço.
O que ninguém diz com clareza suficiente: seu histórico de transações também é um campo de caça. Os golpistas sabem disso. E se aproveitam.
O mecanismo, sem jargão desnecessário
Um atacante observa os endereços com os quais você troca com frequência — um amigo, uma exchange, um contrato. Depois, gera (com uma ferramenta, às vezes comprada na dark web) um endereço parecido: mesmos primeiros caracteres, mesmos últimos, meio diferente. Em seguida, envia para você uma quantia bem pequena, dust, desse endereço falso. Ou uma transação de valor zero. Sua carteira registra o contato. Da próxima vez que você procurar «o endereço de ontem», muitas vezes é esse que aparece primeiro.
Copias. Envias. Os fundos desapareceram. Em $ETH, $USDT e na maioria das chains EVM, uma transferência confirmada não pode ser recuperada.
Isto não é ficção científica. Um estudo da Carnegie Mellon / CyLab (USENIX Security), sobre Ethereum e BNB Chain entre julho de 2022 e junho de 2024, contabilizou cerca de 270 milhões de tentativas que visaram 17 milhões de vítimas, com pelo menos 83,8 milhões de dólares em perdas confirmadas. Em 2024, a Chainalysis documentou uma campanha em que uma baleia quase perdeu 68 milhões de dólares em WBTC ao copiar um endereço que só diferia por um caráter visível no início — os fundos foram devolvidos, mas a mesma rede já tinha desviado milhões noutros casos. Mais recentemente, a Scam Sniffer relatou duas vítimas que, sozinhas, perderam mais de 62 milhões de dólares (cerca de 50 M$ em dezembro, 12,2 M$ em janeiro).
Porque é que funciona tão bem
Porque os endereços de cripto são sequências hexadecimais ilegíveis. Ninguém os memoriza. Olhamos para o início, para o fim, confiamos no histórico. Tal como escrevemos «recente» no Mobile Money sem voltar a confirmar o número. O hábito é humano. A armadilha, essa, é industrial: kits prontos a usar, endereços gerados em massa, dust quase gratuito.
O problema não é copiar. É de onde copias.
O que realmente muda a tua forma de agir
Guarda os destinatários de confiança numa lista de contactos que tu próprio preencheste — não na que a wallet te sugere depois de receberes dust. Quando colares, verifica os 6 primeiros E os 6 últimos caracteres, não apenas o início. Se surgir de repente um endereço com 0,0001 recebido «de ti» ou de alguém desconhecido com um nome parecido, isso é um sinal de alerta, não um contacto útil. Se usares uma hardware wallet, lê o endereço completo no ecrã do dispositivo antes de assinar: o ecrã do computador pode mentir; o do dispositivo, muito menos. E, antes de uma transferência elevada, uma pequena transferência de teste continua a ser o filtro mais simples: se o teste chegar ao destinatário errado, perdes pouco.
A ironia é que as vítimas destas campanhas não são necessariamente principiantes. A Chainalysis nota que as wallets afetadas têm muitas vezes um histórico longo e saldos elevados. Quanto mais valor movimentas, mais interessante és para «envenenar».
A blockchain não corrige um endereço colado à pressa. Executa-o.
Antes do teu próximo envio, de onde vais copiar exatamente: de uma lista de contactos que preencheste à mão ou da linha «recente» que a wallet te apresenta automaticamente?
Conteúdo educativo, não é aconselhamento financeiro.