Sites de bridge falsos: como usar bridges sem ter a carteira esvaziada

Um site de bridge falso é uma cópia quase idêntica de uma bridge cross-chain real que engana você para assinar uma transação ou aprovação de token que entrega seus fundos a um atacante. Para fazer bridge sem ter a carteira esvaziada, acesse a bridge apenas por um favorito verificado ou pela documentação oficial, confira o domínio e os endereços dos contratos, leia cada solicitação da carteira antes de assinar e teste primeiro com um valor pequeno.

Bridges transferem tokens de uma blockchain para outra, por exemplo do Ethereum para uma rede de camada 2. Como os usuários costumam fazer bridge com pressa, correndo atrás de uma nova rede, de um airdrop ou de uma operação, as interfaces de bridge são um alvo preferido do phishing. Este guia explica como o golpe funciona e a rotina que o evita.

Como funciona um ataque com bridge falsa

A maioria dos golpes com bridges falsas segue as mesmas etapas:

1. 1A cópia. O atacante clona o front-end de uma bridge popular e o hospeda em um domínio que difere por uma letra, um hífen ou uma terminação diferente.
2. 2A isca. Ele promove o link por meio de anúncios pagos em buscadores, respostas sob as publicações do projeto real, contas de “suporte” falsas ou anúncios de que uma nova rede ou um airdrop exige fazer bridge.
3. 3A conexão. Você conecta sua carteira. O site lê seus saldos e, assim, sabe quais tokens valem a pena atacar.
4. 4A solicitação. Você clica em “bridge”. Em vez de chamar o contrato real da bridge, o site pede que você aprove um token para o contrato de um atacante, assine um permit fora da cadeia ou envie fundos diretamente para um endereço do atacante.
5. 5O esvaziamento. Depois da aprovação, o contrato do atacante puxa seus tokens. Muitas vezes o site mostra uma falsa mensagem de “bridge em andamento” para ganhar tempo.

Como a interface parece idêntica, o domínio e a solicitação da carteira são suas únicas pistas confiáveis. Nossos guias sobre wallet drainers e phishing com assinaturas permit explicam os truques de assinatura em detalhes.

Um exemplo hipotético

O que segue é um exemplo ilustrativo composto, não um caso real. Imagine um usuário que quer transferir stablecoins do Ethereum para uma nova rede de camada 2 para se qualificar para um airdrop que está sendo especulado. Ele pesquisa a bridge da rede, clica no primeiro resultado, que é um anúncio pago, e cai em um site exatamente igual à bridge oficial.

Ele conecta a carteira e digita o valor. A carteira mostra uma solicitação de aprovação de acesso “ilimitado” às suas stablecoins por um contrato que ele nunca viu. Ele acha que isso é normal ao fazer bridge e aprova. Em menos de um minuto, todo o saldo de stablecoins é transferido, e o site continua exibindo “aguardando confirmações”. Quando ele percebe que a bridge nunca aconteceu, os fundos já foram trocados e movimentados por vários endereços.

As perdas vieram de três atalhos: usar um anúncio de buscador, pular a verificação do domínio e aprovar um contrato desconhecido com permissão ilimitada.

Lista de sinais de alerta

Como fazer bridge com segurança

Use esta rotina sempre:

1. 1Encontre a bridge oficial pela fonte. Acesse a documentação oficial da rede de destino e siga o link dela para a bridge. Nosso guia sobre como verificar se um site é o site oficial do projeto explica como confirmar que você está no domínio certo.
2. 2Salve nos favoritos. A partir daí, use o favorito. Nunca pesquise uma bridge para depois clicar em um anúncio.
3. 3Confira o contrato. Quando o projeto publicar os endereços de contrato da bridge, compare-os com o que sua carteira mostra antes de aprovar.
4. 4Limite as aprovações. Aprove apenas o valor que vai transferir, e não um valor ilimitado, quando sua carteira permitir.
5. 5Envie um teste pequeno. Faça bridge de um valor pequeno primeiro e confirme que ele chega à rede de destino.
6. 6Use uma carteira separada para experimentos. Uma carteira descartável com fundos limitados limita seu prejuízo se algo der errado.
7. 7Revogue ao terminar. Remova aprovações de que você não precisa mais, como descrito em nosso guia sobre revogar aprovações de tokens.

Para os riscos mais amplos das próprias bridges, incluindo bugs em contratos inteligentes, leia como transferir cripto entre blockchains com segurança.

O que fazer se você usou uma bridge falsa

Aja rápido:

1. 1Desconecte o site e feche a aba.
2. 2Revogue as aprovações de todos os contratos que você aprovou, usando um verificador de aprovações confiável acessado por um favorito.
3. 3Transfira os ativos restantes para uma carteira totalmente nova, com uma nova frase de recuperação, se você assinou algo suspeito ou digitou sua frase de recuperação.
4. 4Registre os detalhes: o domínio, os hashes de transação e os endereços do atacante.
5. 5Denuncie ao projeto real da bridge, à corretora para onde os fundos possam ir e por meio do nosso formulário de denúncia de golpes, para que outras pessoas possam ser alertadas.

Nosso guia passo a passo sobre o que fazer imediatamente se sua carteira for comprometida cobre a resposta completa. Ignore qualquer pessoa que entre em contato oferecendo recuperar fundos mediante pagamento; golpes de recuperação miram vítimas recentes. Para se aprofundar, veja Golpes com cartões de débito cripto e ofertas de cartões falsos.

Conclusão

Sites de bridge falsos dão certo porque são idênticos aos verdadeiros e pegam as pessoas com pressa. Confie no domínio e na solicitação da carteira, não no design da página. Acesse bridges apenas pela documentação oficial e por favoritos, aprove somente o necessário, teste com valores pequenos e revogue as aprovações depois.