Sites de phishing cripto: como reconhecer uma página falsa de exchange ou carteira

Sites de phishing cripto são páginas falsas que imitam uma exchange, carteira ou app DeFi real para roubar seu login, códigos de dois fatores, sua frase de recuperação ou uma assinatura da carteira. Normalmente você consegue reconhecê-los por um endereço levemente diferente do domínio real, pela forma como chegou até eles (um anúncio, e-mail ou mensagem direta) e por pedidos que nenhum serviço legítimo faz, como digitar sua frase de recuperação em um formulário na web.

O phishing é uma das formas mais comuns de as pessoas perderem cripto, e funciona também com usuários experientes. Diferentemente de um banco, uma blockchain não consegue reverter uma transferência depois de confirmada, por isso a prevenção é a única defesa confiável.

Como funcionam os sites de phishing cripto

Os sites de phishing miram dois tipos de segredos:

1. 1Credenciais de conta de exchanges centralizadas: e-mail, senha e códigos de dois fatores. O atacante as repassa à exchange real em tempo real, faz login e saca os fundos.
2. 2Acesso a carteiras de autocustódia: ou sua frase de recuperação diretamente, ou uma assinatura que dá ao atacante permissão para movimentar seus tokens. Esses sites costumam se passar por uma DEX, um mint de NFT, um resgate de airdrop ou uma página de “validação de carteira” e executam um script de wallet drainer.

A página em si geralmente é uma cópia do código do site real, então o design, os logotipos e o texto parecem idênticos. Veja também: Boas práticas de segurança para carteiras móveis.

Como as vítimas chegam aos sites falsos

• Anúncios em buscadores. Golpistas compram anúncios para termos de busca populares. O anúncio aparece acima do resultado real e leva a um domínio parecido.
• E-mail. Falsos alertas de segurança (“Login incomum detectado”, “Verifique sua conta”) com um link para uma página de login falsa.
• Respostas em redes sociais. Bots respondem a publicações oficiais com links para airdrops ou páginas de suporte falsos.
• Mensagens diretas. Falsos atendentes de suporte ou “admins” no Discord, Telegram ou X enviam links.
• Contas comprometidas. A conta social ou o Discord de um projeto real é hackeado e publica um link de phishing.
• SEO e typosquatting. Domínios que diferem em um caractere, usam outra extensão ou acrescentam palavras como “app”, “claim” ou “support”.

Sinais de alerta de uma página falsa de exchange ou carteira

Um ícone de cadeado ou “https” não significa que o site é seguro. Sites de phishing usam rotineiramente certificados válidos. Explicamos isso em mais detalhes em Malware de área de transferência.

Como verificar um site antes de fazer login ou conectar

1. 1Digite o domínio ou use um favorito. Crie favoritos para cada exchange, carteira e app DeFi que você usa, e use apenas eles.
2. 2Leia o domínio completo na barra de endereço. Observe a parte logo antes da extensão; esse é o nome real do site. exchange.com.secure-login.io pertence a secure-login.io, não a exchange.com.
3. 3Confira a URL oficial. Compare com o perfil verificado do projeto em um site de dados confiável. Nosso guia sobre como verificar se um site é o site oficial do projeto mostra o passo a passo.
4. 4Leia cada pedido da carteira. Antes de assinar, verifique com qual contrato você está interagindo e qual permissão está concedendo.
5. 5Nunca digite sua frase de recuperação em um site no computador ou no celular. Se algum site pedir, feche a aba.

Hábitos que evitam o phishing

• Use um gerenciador de senhas. Ele só preenche credenciais no domínio exato que salvou, então não vai preencher automaticamente em um site parecido, o que funciona como um alarme útil.
• Use chaves de segurança físicas ou um app autenticador para a autenticação de dois fatores em vez de SMS. Veja autenticação de dois fatores para contas cripto.
• Ative listas de endereços de saque permitidos nas exchanges onde isso estiver disponível.
• Mantenha uma carteira separada para experimentos e guarde os fundos de longo prazo em uma carteira que nunca se conecta a sites novos.
• Trate como suspeita toda mensagem não solicitada sobre sua conta, mesmo que pareça oficial.
• Revise e revogue aprovações de tokens regularmente.

Se você acha que caiu em um phishing

Rapidez é fundamental:

1. 1Credenciais de exchange digitadas: troque sua senha e as configurações de dois fatores pelo site real, verifique se há novos endereços de saque ou chaves de API e entre em contato com o suporte pelo site oficial.
2. 2Frase de recuperação digitada: considere a carteira perdida. Transfira os fundos restantes para uma nova carteira criada em um dispositivo limpo, com uma nova frase de recuperação.
3. 3Assinatura ou aprovação maliciosa: revogue as aprovações imediatamente e transfira os ativos restantes.
4. 4Denuncie: denuncie o domínio à empresa imitada, ao serviço de denúncia de phishing do seu navegador e pelo nosso formulário de denúncia de golpes.

Cuidado com “serviços de recuperação” que entram em contato com você depois. Eles quase sempre são um segundo golpe. Nosso artigo Atualizações de firmware de carteiras aprofunda esse ponto.

Conclusão

Os sites de phishing têm sucesso porque parecem reais e surgem em momentos em que você está com pressa. Faça dos favoritos sua única porta de entrada, leia os domínios com atenção, nunca digite uma frase de recuperação em um site e trate todo pedido de assinatura inesperado como uma ameaça. Esses hábitos bloqueiam a grande maioria das tentativas de phishing antes mesmo de começarem. Para mais dicas de proteção, veja nossos artigos de segurança.