Golpes de migração e swap falsos de tokens

Um golpe de migração de tokens é uma fraude em que criminosos dizem que um token que você possui precisa ser “atualizado”, “migrado” ou “trocado” por uma nova versão e depois enviam você a um portal falso que esvazia sua carteira por meio de uma aprovação maliciosa, uma assinatura ou um pedido da sua frase de recuperação. O golpe funciona porque migrações reais acontecem de fato, então a história parece plausível.

Projetos trocam de contrato legitimamente em atualizações, mudanças de marca ou mudanças de blockchain. A transição da Polygon de MATIC para POL é um exemplo conhecido de transição genuína. Toda migração real cria uma janela em que os detentores esperam instruções, e os golpistas correm para preencher essa janela com instruções falsas.

Por que migrações reais abrem uma brecha

Há motivos legítimos para um projeto pedir que os detentores troquem tokens:

• Atualizações de contrato. Um bug ou um novo recurso exige um novo contrato de token.
• Mudanças de marca e de token. Um projeto substitui um token por um sucessor.
• Mudanças de blockchain. Um token passa de uma blockchain para outra, por exemplo de um ERC-20 para a mainnet própria de um projeto.
• Redenominações. A oferta é dividida ou agrupada; por exemplo, 1 token antigo vira 100 novos.

Cada uma dessas situações gera confusão, e confusão dá lucro aos golpistas. Muitos detentores não acompanham de perto as notícias do projeto, então uma mensagem convincente dizendo que “o token antigo está sendo descontinuado” pode parecer uma informação urgente e útil. Leitura relacionada: Phishing por anúncios de busca.

Como o golpe funciona, passo a passo

1. 1Escolher um alvo. Os golpistas ficam de olho em migrações anunciadas ou simplesmente inventam uma para um token popular.
2. 2Montar o portal. Eles copiam o design do site do projeto em um domínio parecido, com um botão “Migrar” ou “Resgatar V2”.
3. 3Espalhar o link. Publicam o link em respostas a contas oficiais, compram anúncios de busca, enviam mensagens diretas no Telegram e no Discord, fazem airdrop de tokens sem valor cujo nome é uma URL ou se passam por equipe de suporte.
4. 4Criar urgência. As mensagens afirmam que o token antigo vai “parar de funcionar” ou “perder todo o valor” em poucas horas.
5. 5Levar os fundos. O portal pede que você conecte sua carteira e depois aprove gastos ilimitados, assine uma mensagem permit ou Permit2, envie tokens para um “contrato de migração” ou “valide” sua carteira digitando sua frase de recuperação.
6. 6Esvaziar e lavar. Assim que você assina, um drainer automatizado retira seus tokens, muitas vezes em segundos, e os divide entre vários endereços.

Para saber mais sobre os truques de assinatura envolvidos, veja nosso guia sobre ice phishing e assinaturas permit.

Um exemplo hipotético

O que segue é um exemplo ilustrativo composto, não um caso real.

Imagine um detentor chamado Sam que possui um token DeFi de porte médio. Certa manhã, Sam vê uma resposta abaixo da publicação oficial do projeto: “Lembrete: os tokens V1 serão descontinuados à meia-noite UTC. Migre aqui.” O link leva a um site idêntico ao do projeto, com uma letra trocada no domínio. Abordamos isso com mais detalhes em WalletConnect falso e phishing com pop-ups de carteira.

Sam conecta uma carteira e clica em “Migrar”. A carteira mostra um pedido de aprovação do token com valor ilimitado. Sam acha que isso é normal em um swap e confirma. Em menos de um minuto, todo o saldo do token sai da carteira. Um segundo pedido então solicita que Sam assine uma mensagem para “receber os tokens V2”; na verdade, é um permit para outro token da carteira. Nenhum token V2 chega. O projeto real não havia anunciado migração alguma. Veja também: Sites de bridge falsos.

Lista de sinais de alerta

Como verificar uma migração genuína

1. 1Vá você mesmo à fonte. Digite o domínio oficial do projeto ou use um favorito. Procure uma página sobre a migração na documentação e no blog oficiais. Nosso guia sobre como verificar se um site é o site oficial do projeto explica como.
2. 2Confira o anúncio em outras fontes. Confirme que ele aparece nas contas verificadas do projeto nas redes sociais e, de preferência, que é divulgado pelas corretoras que listam o token.
3. 3Verifique sua corretora. Se seus tokens estão em uma corretora, procure o comunicado oficial dela. As corretoras geralmente fazem a troca para os clientes.
4. 4Verifique o novo contrato. Compare o endereço do novo token na documentação oficial e em um explorador de blocos, como descrito em nosso guia para verificar o endereço de contrato oficial de um token.
5. 5Leia a transação antes de assinar. Confirme que o contrato que você está aprovando corresponde ao contrato de migração documentado e limite o valor da aprovação sempre que possível.
6. 6Espere se tiver dúvidas. Migrações genuínas raramente punem quem leva um dia para verificar.

O que fazer se você caiu no golpe

Aja rápido, nesta ordem:

1. 1Revogue as aprovações. Use uma ferramenta de aprovações confiável para revogar qualquer aprovação ou permit concedido ao contrato do golpe. Veja como revogar aprovações de tokens.
2. 2Proteja a carteira. Se você digitou sua frase de recuperação, considere a carteira comprometida e transfira os ativos restantes para uma carteira totalmente nova, com uma nova frase de recuperação. Siga nossa lista sobre o que fazer imediatamente se sua carteira for comprometida.
3. 3Guarde provas. Salve a URL, capturas de tela, hashes de transação e os endereços do golpista.
4. 4Denuncie. Avise o projeto real, seu provedor de carteira e a plataforma onde você viu o link. Você também pode nos sinalizar o site e os endereços pelo nosso formulário de denúncia de golpes.
5. 5Cuidado com golpes de recuperação. Quem promete recuperar seus fundos mediante pagamento quase sempre está aplicando um segundo golpe.

Conclusão

Golpes de migração de tokens exploram um processo real: projetos às vezes trocam ou atualizam tokens de fato. A defesa é simples, mas rigorosa. Siga apenas instruções de migração que você mesmo encontrou em canais oficiais, verifique o endereço do novo contrato, nunca compartilhe uma frase de recuperação e trate urgência e mensagens privadas como sinais de alerta. Se a migração for genuína, ela continuará disponível depois que você verificar.