Phishing, apps falsos e aprovações maliciosas

Ladrões que não conseguem quebrar a criptografia têm duas opções. Podem conseguir sua frase-semente, ou podem fazer você assinar algo que entrega seus tokens. Esta lição trata dos dois caminhos.

Caminho um: sua frase-semente

Sites de phishing. Uma cópia do site de uma carteira ou corretora fica em um endereço com uma letra de diferença do verdadeiro. Ela é divulgada por anúncios, e-mails e mensagens diretas. Ela manda você "restaurar", "verificar" ou "sincronizar" sua carteira digitando a frase-semente.

Apps falsos. Imitações de carteiras populares chegam às lojas oficiais de apps. Em 2026, a Kaspersky encontrou 26 na App Store da Apple. Eles capturavam a frase de recuperação enquanto os usuários a digitavam e a enviavam aos atacantes.

Suporte falso. Alguém responde à sua pergunta pública com uma mensagem no privado e um link para um "formulário de suporte".

Os três terminam igual: você digita suas palavras e a carteira é esvaziada. A regra da Lição 23 derrota todos. A frase só é digitada quando você escolhe restaurar uma carteira, em um software que você instalou da fonte oficial.

Caminho dois: sua assinatura

Este caminho não precisa da frase-semente, e funciona também contra carteiras de hardware.

Para usar um token com um app no Ethereum, você primeiro assina uma aprovação. Ela dá ao contrato inteligente do app permissão para movimentar aquele token da sua carteira. Os apps muitas vezes pedem uma quantidade ilimitada, para você só precisar aprovar uma vez.

Um site malicioso abusa disso. Ele se passa por um projeto novo, um airdrop ou uma página de resgate. Você conecta sua carteira e assina o que parece um passo de rotina. Na verdade, você aprovou o contrato do atacante, que então leva todos os tokens daquele tipo. As ferramentas feitas para isso se chamam drainers. A Chainalysis os descreve como sites que "se disfarçam de projetos web3".

Um exemplo é de janeiro de 2024, depois que a conta da própria SEC em uma rede social foi invadida. Um drainer se passando pela SEC convidou as pessoas a conectar a carteira e resgatar tokens grátis.

O que uma aprovação realmente significa

Ela dura até você cancelá-la, mesmo depois de você parar de usar o app.
Desconectar sua carteira de um site não a cancela.
Ilimitada significa todos os tokens daquele tipo, incluindo os que você adicionar depois.
Se um contrato aprovado for hackeado ou se revelar malicioso, ele pode usar a permissão.

Defesas

Desacelere na hora da assinatura. Leia o que sua carteira mostra. Se aparecer "approve", "permit" ou "set approval for all" e você não esperava isso, rejeite.

Aprove só o necessário. Muitas carteiras permitem reduzir um pedido ilimitado ao valor desta transação.

Use uma carteira separada para experimentos. Tenha uma carteira de saldo pequeno para testar apps novos e resgatar coisas. Guarde as economias em uma carteira que nunca se conecta a sites.

Revogue aprovações antigas. Exploradores de blocos e ferramentas específicas listam as aprovações do seu endereço e permitem cancelá-las. Cada cancelamento é uma transação e custa uma taxa. Faça isso algumas vezes por ano, e imediatamente depois de assinar algo de que se arrependeu.

Chegue com segurança. Use favoritos. Não clique em anúncios nem em links de mensagens.

Ignore dinheiro grátis. Tokens surpresa, airdrops em que você não se inscreveu e prazos urgentes de "resgate" são isca.

As duas regras

Nunca digite sua frase-semente para consertar, verificar ou resgatar nada. Nunca assine uma transação que você não consegue explicar.