Guia antifraude para Web3
Na blockchain, não há atendimento ao cliente que possa ajudar a reverter uma transação. A maioria das pessoas não perde dinheiro porque sua senha foi descoberta, mas porque confirmou uma operação, copiou um endereço errado ou confiou em alguém em quem não deveria.
Até quem tem experiência pode clicar sem querer. Os hábitos a seguir são mais úteis do que decorar o nome de cem projetos.
Lembre-se primeiro destas quatro regras; tudo o que vem a seguir é um desdobramento delas:
Nunca compartilhe sua frase-semente nem sua chave privada com ninguém. Nem com representantes oficiais, atendimento ao cliente, parceiros, IA ou chefes. Quem pedir está tentando roubar seus dados.
Se não entender uma assinatura, recuse. Agir com pressa, achar que a página travou e clicar várias vezes são algumas das maneiras mais comuns de cometer erros.
Confira o endereço inteiro, não apenas o começo e o fim, e não confie no nome. O nome de um token pode ser falsificado, assim como os primeiros e os últimos quatro caracteres.
Se pedirem que você pague primeiro para recuperar seu dinheiro, pare. Resgate de prêmios, saques, recuperação, atualizações ou desbloqueios: é tudo a mesma coisa.
Separe o dinheiro para grandes quantias daquele usado no dia a dia. Para caçar airdrops ou testar projetos novos, use uma carteira pequena e troque-a depois de algum tempo. Guarde o dinheiro que pretende manter numa carteira de hardware ou numa grande corretora, como a Binance, e não a conecte a sites no dia a dia.
Um. Primeiro, observe as pessoas: conhecidos, atendimento ao cliente, relacionamentos e recrutamento
Um conhecido pede dinheiro de repente ou propõe uma parceria: no Telegram ou no WeChat, um amigo pode pedir que você transfira USDT ou dizer que surgiu um projeto urgente. A conta pode ter sido invadida ou pode ser uma conta falsa: foto, nome e jeito de falar podem ser copiados. Ligue para a pessoa usando um número que você mesmo discar; se ela recusar uma chamada de voz, pare. Se insistir para você "não contar a ninguém" ou disser que "não dá para falar no grupo", desconfie ainda mais. Quando uma conta é invadida, os golpistas também podem usá-la para enviar mensagens em massa. Por isso, antes de alguém procurar você, não seja a pessoa que encaminha links sem verificar.
Falso atendimento ao cliente: especialmente quando há problemas numa corretora ou num projeto, alguém pode enviar uma mensagem privada dizendo que é da equipe oficial e pedir um código de verificação, a frase-semente, compartilhamento de tela ou uma transferência para um "endereço seguro". O verdadeiro suporte não inicia conversas privadas nem pede sua frase-semente. Para falar com o suporte oficial, use a opção de ajuda no aplicativo ou acesse o site oficial pelos seus favoritos. Não use links de mensagens privadas, comentários ou e-mails.
Golpe romântico de investimento: a pessoa conversa com você por semanas num aplicativo de encontros ou no Telegram e depois o leva a uma "plataforma de investimento". Você consegue sacar pequenas quantias, mas, ao tentar retirar uma quantia maior, pedem impostos ou um depósito de garantia e, no fim, o site desaparece. Se pedirem mais dinheiro para liberar um saque, não pague. Não importa há quanto tempo conversam nem o quanto as capturas de tela dos lucros parecem verdadeiras.
Falsos brindes e deepfakes: contas de celebridades ou de equipes de projetos são roubadas ou falsificadas, ou usam vídeos e vozes gerados por IA para dizer que, se você enviar um token, receberá dois de volta. Mesmo que o vídeo e a voz pareçam reais, isso não prova que a pessoa esteja falando.
Vagas de emprego falsas: a vaga e a entrevista parecem verdadeiras, mas no fim pedem que você baixe uma "tarefa", um programa interno de reuniões ou uma "carteira de avaliação". O download pode instalar um cavalo de Troia. Faça tarefas numa máquina vazia, sem carteiras ou corretoras. Se pedirem que você pague um "valor de treinamento" ou um "depósito pelo equipamento", considere encerrado o processo seletivo.
Falsa recuperação de ativos: logo depois de você ser enganado, alguém diz que consegue recuperar seus fundos e pede uma taxa ou honorários advocatícios adiantados. É um segundo golpe. Trate como golpistas, por padrão, os "serviços de assistência jurídica" e os "estúdios de rastreamento on-chain" que aparecem espontaneamente nos comentários ou nas mensagens privadas. Serviços legítimos não pedem criptomoedas adiantadas nem garantem que vão recuperar seus fundos. Na maioria das vezes, tokens transferidos on-chain não podem ser recuperados. A primeira coisa a fazer é limitar os danos: substitua a carteira comprometida, revogue as autorizações e altere as senhas do e-mail e da corretora. Não entregue também o dinheiro que sobrou para "tentar mais uma vez".
Dois. Primeiro, confira dispositivos e arquivos: cavalos de Troia, acesso remoto e área de transferência
Arquivos compactados e arquivos desconhecidos: quando alguém envia um arquivo compactado para você consultar materiais, assinar um contrato ou conferir informações, pode pedir que você o abra no computador. Depois de aberto, o computador pode ser controlado remotamente; em seguida, roubam a carteira, trocam o endereço na área de transferência e usam sua conta para enviar mais mensagens. Mesmo que venha de um conhecido, confirme primeiro por telefone. Não baixe nem encaminhe. Para arquivos de trabalho, peça um link somente para leitura numa nuvem ou use uma ferramenta de colaboração confiável. Não abra arquivos compactados, documentos com macros ou instaladores de origem desconhecida.
Programas baixados com cavalos de Troia: instalar extensões, robôs de trading, tradutores ou programas de reunião a partir de resultados de busca ou anúncios pode permitir o controle remoto do computador. O endereço correto que você copiou pode ser substituído pelo do golpista quando você o cola. Baixe programas apenas dos sites oficiais. Ao transferir, confira o endereço completo na tela da carteira de hardware ou do celular; não olhe apenas para a linha no navegador do computador.
Reuniões e assistência remota: a outra pessoa propõe uma parceria e pede que você instale um programa específico, como AnyDesk, TeamViewer ou Sunflower, dizendo que vai ajudar a conferir sua carteira remotamente. Durante o compartilhamento de tela, sua frase-semente e seus códigos de verificação podem ser vistos. Não abra a carteira durante uma sessão remota com outra pessoa, não entre na corretora enquanto compartilha a tela e não leia códigos em voz alta. Se a outra pessoa insistir que "não dá para continuar sem acesso remoto", encerre a parceria.
Sequestro da área de transferência: quando você cola um endereço, um cavalo de Troia o substitui silenciosamente. Você copiou o endereço correto, mas cola o errado. Antes de transferir, confira o endereço completo, não apenas o começo e o fim. Conferi-lo na carteira de hardware ou no celular é mais útil do que olhar duas vezes no mesmo computador infectado.
Carteiras de hardware falsas: dispositivos comprados por canais não oficiais podem vir com uma frase-semente pré-configurada. Também há e-mails que pedem que você digite sua frase-semente atual para uma "atualização de firmware". Compre hardware apenas no site oficial. Qualquer pessoa que peça sua frase-semente atual está tentando roubá-la. Se um dispositivo novo já mostrar uma frase-semente pronta na primeira inicialização, não o use; devolva-o.
Três. Assinaturas e autorizações: é muito fácil perder tudo com um simples "clique"
Conectar uma carteira geralmente só informa seu endereço ao site; isso, por si só, não significa que você entregou seus tokens. O verdadeiro perigo está na assinatura que vem depois ou na autorização.
Assinaturas em sequência: a primeira é uma ação normal de resgate ou login; logo depois, aparece uma segunda, uma terceira. Você confirma sem pensar e acaba concedendo uma autorização ilimitada. Analise cada janela separadamente e feche a página assim que aparecer outra solicitação. Às vezes achamos que travou e clicamos várias vezes, mas não travou: a outra pessoa está esperando você clicar sem querer.
Confirmar uma assinatura que você não entende: a janela mostra uma longa sequência em inglês ou hexadecimal; com pressa, você confirma, mas pode estar assinando justamente algo que entrega sua carteira a outra pessoa. Se não entender, recuse primeiro. Uma operação legítima pode esperar até você entender. Especialmente se vir estas palavras, pare e confira:
approve, especialmente se o limite for ilimitado
setApprovalForAll
Permit, Permit2
increaseAllowance
Assinatura de mensagem bruta, como eth_sign: a carteira mostra apenas uma sequência de dados que você não entende
Assinaturas como Permit e Permit2 muitas vezes não custam Gas e não geram imediatamente uma transferência no histórico de transações. Você pensa: "Não paguei nada". Com sua assinatura, a outra pessoa pode pagar o Gas mais tarde e transferir seus tokens. Algumas pessoas só percebem que foram drenadas meses depois, porque naquele momento a assinatura parecia não causar prejuízo algum.
Outro tipo de assinatura reúne várias etapas: parece que você está resgatando uma recompensa, mas também altera as permissões da conta. Se a carteira puder simular "o que vai acontecer depois da assinatura", confira o resultado da simulação primeiro. Se a simulação não for clara ou a carteira mostrar apenas um hash, recuse.
Revogue as autorizações quando não precisar mais delas: autorizações ilimitadas concedidas a corretoras descentralizadas, projetos antigos ou sites desconhecidos continuam válidas até você revogá-las. O site de um projeto pode ser invadido, ou você pode ter clicado uma vez numa página de phishing; a outra pessoa pode esperar bastante tempo antes de transferir seus ativos. De tempos em tempos, use a página de autorizações do explorador de blocos ou uma ferramenta de verificação de autorizações em que confie para revogar as que não usa mais. Acesse essas ferramentas apenas pelos seus próprios favoritos, nunca por links em grupos do tipo "ajudamos a verificar suas autorizações". Revogar custa um pouco de Gas, e isso é normal.
Armadilhas de multisig e delegação de conta: sob o pretexto de "mais segurança", pedem para você adicionar sua carteira a uma multisig ou assinar uma delegação de conta. O endereço da outra pessoa também está entre os signatários e, depois da assinatura, ela pode transferir seus ativos. Uma multisig só faz sentido se você conhecer e verificar offline cada um dos signatários. Não assine pedidos de desconhecidos como "atualização de segurança", "custódia mais segura" ou "vou adicionar proteção para você".
Airdrop falso: de repente, aparecem tokens desconhecidos na sua carteira, ou alguém envia um link dizendo que você ganhou um prêmio ou tem um airdrop não resgatado. O link leva a um site de phishing e basta uma assinatura para sua carteira ser roubada. Se você não se cadastrou, não clique nem autorize nada. Links de resgate em publicações que marcam você de repente, comentários fixados e mensagens privadas costumam ser golpes desse tipo.
O mesmo vale para e-mails: eles podem parecer vir do projeto e ter assuntos como "Você tem um airdrop para resgatar" ou "O prazo para solicitar termina em breve". O logotipo e o layout podem parecer muito convincentes. Não clique nos botões do e-mail; acesse a conta oficial do projeto e entre pelo seu próprio favorito. Tenha cuidado também com o "clique em Verify primeiro" depois de entrar num servidor do Discord: a verificação não deveria levar você a um site desconhecido que pede para conectar a carteira e assinar. A verificação oficial geralmente é feita pelo próprio fluxo do Discord.
Tokens poeira e anúncios de NFT: qualquer pessoa pode enviar um token ou NFT para você, com um endereço no nome para induzir você a resgatar, vender ou fazer uma ponte entre redes. Não troque tokens que não conhece, não os autorize nem clique nos endereços que aparecem em seus nomes. Se surgir um saldo inesperado na carteira, presuma que é uma isca, não sorte. Basta ocultá-lo; não interaja.
Quatro. Endereços e tokens falsos: nomes enganam, e o começo e o fim também
Tokens falsos: em redes como Ethereum e BSC, qualquer pessoa pode criar um token com o nome BTC, ETH ou USDT. Alguns são cópias falsas; outros só permitem comprar, mas não vender — os chamados honeypots. Muitas pessoas veem o preço alto, tentam vender e caem no golpe. O nome é falso e o preço também pode ser. Confira o endereço do contrato, não o nome. Copie o endereço do site oficial do projeto ou da página de tokens de um explorador em que confie; não copie do histórico de conversas, de capturas de tela de gráficos ou de mensagens encaminhadas por outras pessoas.
Honeypot: o contrato permite comprar, mas não vender, ou cobra uma taxa de venda tão alta que fica com todo o dinheiro. Antes de comprar, teste a venda com um valor muito pequeno. Se não conseguir vender, pare; não aumente a posição só porque "já comprou".
Envenenamento de endereço: o invasor cria um endereço parecido com um que você usa, tanto no começo quanto no fim, e envia uma quantia insignificante para aparecer no histórico de transações. Você copia o endereço do histórico e acaba enviando dinheiro para o lugar errado. Não copie endereços do histórico. Se for enviar uma quantia grande, envie primeiro uma pequena e, depois que chegar, transfira o restante. Confira o endereço completo todas as vezes, inclusive o longo trecho do meio. Salve os endereços que usa com frequência na agenda e escolha-os de lá ao transferir, não entre as transações recentes. Se a outra pessoa enviar um endereço novo, peça que confirme por um meio combinado anteriormente; não confie apenas numa mensagem.
O que importa no fim é a sequência completa de caracteres que você está prestes a enviar; de preferência, confira-a na tela da carteira de hardware.
Sites falsos de phishing: o domínio pode diferir por uma letra ou usar caracteres estrangeiros que parecem iguais. Os links costumam aparecer em anúncios de busca, comentários em publicações, anúncios do Discord e e-mails, para enganar você e fazê-lo entrar, conectar a carteira ou digitar a frase-semente. Não confie no primeiro resultado da busca nem nos que têm a indicação "Anúncio". Mesmo os sites oficiais salvos nos favoritos, confira de vez em quando se ainda usam o domínio correto.
Pontes, plataformas de troca e redes principais falsas: páginas quase idênticas às de uma ponte ou plataforma de troca verdadeira podem roubar seus ativos quando você tenta trocar ou autorizar algo. Há um golpe mais elaborado: a outra pessoa cria uma rede falsa com um Chain ID e um nome parecidos com os oficiais, além de uma ponte falsa para você transferir seus tokens. Quando eles atravessam, vão para a rede do golpista, não para a rede principal verdadeira. Antes de adicionar uma rede à carteira, confira o Chain ID e o RPC na documentação oficial, não numa mensagem de grupo.
Cinco. Projetos e rendimentos: se parece bom demais para ser verdade, presuma que há algo errado
Rug pull: depois de promover o projeto e inflar o preço, os responsáveis retiram a liquidez e o preço desaba; ou a equipe vende aos poucos os próprios tokens. Confira se a liquidez está bloqueada e por quanto tempo, e se o contrato permite emitir mais tokens, bloquear endereços ou alterar a taxa. Se todas essas permissões estiverem nas mãos do projeto, um preço atraente não significa que você conseguirá vender. Se não entende o contrato, limite o valor investido e presuma que ele pode chegar a zero.
Esquemas de investimento com rendimentos altos: prometem ganhos fixos diários ou semanais com trading quantitativo, nós, pools de mineração ou staking. Os primeiros saques muitas vezes são pagos com o dinheiro de quem entra depois. Se o rendimento é estável demais para o mercado, trate como esquema Ponzi. O trading e a mineração de verdade também têm perdas e oscilações. Se a entrada é fácil, o saque fica bloqueado e ainda pedem que você convide outras pessoas, a estrutura já diz tudo.
Golpes em negociações P2P: a pessoa recebe o dinheiro fiduciário e não libera os tokens, ou libera os tokens e depois bloqueia seu dinheiro fiduciário. Operadores de câmbio em grupos não oferecem custódia, e transações presenciais também envolvem riscos à sua segurança. Se puder, use uma corretora regulamentada. Se precisar negociar fora de uma corretora, comece com valores pequenos. Não transfira tokens para o endereço particular de um "atendente de garantia" nem encontre desconhecidos em lugares isolados — quem se apresenta como garantidor pode fazer parte do mesmo grupo que o vendedor.
Seis. Suas próprias contas: frase-semente, API e número de telefone
Guardar a frase-semente no lugar errado: uma captura de tela na galeria, sincronizada com a nuvem, uma nota ou um arquivo de texto, ou enviá-la a alguém. Se o dispositivo for infectado por um vírus, podem esvaziar a carteira toda; se sua conta na nuvem for invadida, o resultado é o mesmo. Escreva a frase-semente à mão e guarde-a offline. Se precisar de uma cópia de segurança, faça uma segunda cópia e guarde-a separadamente. Não tire fotos nem a envie em nenhuma conversa, nem mesmo para o seu próprio "assistente de transferência de arquivos".
Entregar a chave privada a uma IA ou enviá-la ao GitHub: colar a chave privada num chatbot ou colocá-la num arquivo de configuração e enviar para um repositório de código — há robôs que vasculham os repositórios atrás de chaves recém-publicadas. Se você já compartilhou a frase-semente, considere-a comprometida e transfira os ativos para uma carteira nova. Para caçar airdrops, também é recomendável usar uma carteira pequena e trocá-la de tempos em tempos. A IA pode ajudar a analisar endereços públicos de contratos ou explicar o que uma transação faz, mas não pode "guardar", "verificar" ou "recuperar" sua frase-semente. Se alguma ferramenta exigir que você insira a frase-semente para continuar, feche-a.
Carteiras e extensões falsas: cópias de carteiras como Binance Wallet e MetaMask são distribuídas por anúncios ou links fora das lojas de aplicativos. Depois de instaladas, pedem que você importe a frase-semente. Instale carteiras apenas pelos sites oficiais. Nas extensões do navegador, confira o nome do desenvolvedor e o domínio oficial; não confie na aparência do ícone. Se já digitou sua frase-semente numa extensão falsa, considere-a comprometida e transfira seus ativos imediatamente.
Permissões excessivas para APIs: para copiar operações ou usar um robô, você entrega uma chave de API com permissão para negociar e sacar a um programa desconhecido. Se a chave vazar, podem fazer ordens ou transferir seus fundos. Por padrão, a API deve ser somente de leitura. Se realmente precisar negociar, crie uma chave separada sem permissão de saque e vincule-a a um IP. Não envie a chave em grupos, chamados de suporte ou capturas de tela. Não use robôs de cópia de operações que pedem permissão para sacar.
Troca do SIM para interceptar códigos SMS: seu número de telefone é transferido para o cartão SIM de outra pessoa; ela redefine o acesso ao seu e-mail e à corretora, e os códigos de verificação chegam até ela. Use um aplicativo autenticador ou uma chave de segurança física para a segunda etapa de verificação; não dependa apenas de SMS. Ative com a operadora proteções extras contra transferência de número e substituição do SIM. Ative a lista de permissões para saques na corretora e configure um período de espera para novos endereços. Use uma senha forte e exclusiva para o e-mail, diferente da senha da corretora.
Sete. Estas situações também são muito comuns
Códigos QR: um código de pagamento pode ser substituído, e um código de login pode levar a um site de phishing. Antes de escanear, confira o domínio; depois, veja o que a carteira está pedindo para você assinar. Ao receber pagamentos pessoalmente, confira o endereço completo, não apenas a sequência abreviada que aparece na tela.
Anúncios e mensagens fixadas em grupos: as contas de administradores e moderadores podem ser roubadas. Basta alterar um link fixado para levar todo o grupo a assinar uma autorização maliciosa. Use os anúncios apenas como pistas; acesse o site pelo seu favorito oficial.
Comentários e contas grandes invadidas: há quem responda a publicações populares com "resgate oficial". Depois que uma conta grande é invadida, ela também pode publicar algo muito parecido com o que costumava publicar. Não basta conferir se a conta é verificada: abra o perfil e confira o domínio dos links. Nunca assine nada pelos comentários.
Sinais de trading, dicas e "especialistas": é fácil falsificar capturas de tela de lucros garantidos. Se a outra pessoa pedir acesso à permissão de saque da API ou que você deposite dinheiro numa plataforma indicada por ela, lembre-se das duas regras anteriores: conceda poucas permissões e pare se pedirem mais dinheiro antes do saque.
Usar o mesmo computador para trabalhar e guardar grandes quantias: instaladores desconhecidos, programas pirateados e "scripts para abrir várias contas" de origem duvidosa podem estar tentando apenas alterar o conteúdo da sua área de transferência. Não deixe uma carteira com grandes quantias no mesmo computador que essas coisas.
Oito. Antes de transferir ou assinar, faça esta verificação de 30 segundos
Entrei nesta página pelos meus favoritos? Se não, feche-a primeiro.
A outra pessoa está pedindo minha frase-semente, código de verificação, acesso remoto ou que eu faça uma transferência primeiro? Se sim, pare.
Consigo explicar em uma frase o que esta assinatura faz? Se não, recuse.
Acabei de assinar e já apareceu outra solicitação? Se sim, feche a página.
Conferi o endereço completo? Conferir apenas o começo e o fim não basta.
O valor é alto? Se for, transfira primeiro uma quantia pequena e, depois que chegar, envie o restante.
Esta autorização é ilimitada? Se for, reduza o limite para o valor necessário e revogue-a depois de usar.
A outra pessoa está me apressando? Quanto mais pressa ela tiver, mais devagar você deve agir. Seu dinheiro não vai desaparecer porque você levou trinta segundos para conferir.
Nove. Se você já clicou, siga esta ordem
Não procure primeiro alguém que ofereça "recuperar" seus fundos por mensagem privada. Faça isto primeiro:
Desconecte-se da rede: se o computador estiver infectado, você tiver instalado um programa desconhecido ou usado acesso remoto, não digite mais nenhuma frase-semente nesse dispositivo.
Use outro dispositivo limpo ou uma carteira de hardware para transferir os ativos que ainda não foram levados para uma carteira totalmente nova. Se você digitou a frase-semente antiga num site, enviou-a a alguém ou a armazenou na nuvem, não volte a usá-la.
Revogue, num dispositivo limpo, as autorizações de tokens do endereço antigo. A revogação exige uma assinatura da carteira antiga; confirme que abriu a ferramenta pelo seu favorito.
Corretora: altere a senha imediatamente, encerre todas as sessões, redefina as APIs e confira a lista de permissões e o histórico recente de saques. Se o aplicativo autenticador também puder ter sido comprometido, substitua-o.
Altere também as senhas do e-mail e do número de telefone e confira se há regras de encaminhamento desconhecidas. Se o SMS não for seu único método de verificação, remova-o das contas importantes.
Considere este endereço comprometido. Não envie mais dinheiro para ele.
Guarde os hashes e os horários das transações para fornecê-los à corretora ou às autoridades, se necessário. A chance de congelar os fundos é pequena, mas ainda é mais sensato do que entregar o dinheiro que sobrou a alguém que promete "recuperá-lo".
Espero que este conteúdo ajude você a evitar algumas armadilhas. Compartilhe também com seus amigos. Obrigado por ler!