Contas sociais de projetos hackeadas: como evitar anúncios falsos

Quando a conta de um projeto cripto em uma rede social é hackeada, os atacantes a usam para publicar anúncios falsos, geralmente um airdrop surpresa, um mint ou uma migração de tokens, que levam os seguidores a um site que esvazia carteiras. A melhor proteção é simples: nunca aja com base em um único post; confirme qualquer anúncio que envolva sua carteira em pelo menos outro canal oficial, como o site ou a documentação do projeto.

Esses ataques funcionam porque pegam emprestada uma confiança real. A conta é genuína, o selo é genuíno e os seguidores são genuínos. Só o post é falso, e os atacantes sabem que precisam apenas de uma janela curta antes que a equipe recupere o controle.

Como acontecem as invasões de contas

Os atacantes raramente “hackeiam” a própria plataforma. Eles miram pessoas e serviços conectados:

• Phishing contra membros da equipe. Mensagens falsas sobre uma reclamação de direitos autorais, um problema de verificação ou uma proposta de parceria levam a equipe a fazer login em uma página falsa.
• SIM swaps. Se uma conta depende de códigos por SMS, um atacante que assume o número de telefone pode redefinir a senha. Veja nosso guia sobre ataques de SIM swap.
• Ferramentas de terceiros comprometidas. Aplicativos de agendamento ou de análise com permissão para publicar podem virar uma porta dos fundos.
• Senhas fracas ou reutilizadas. Uma senha vazada de outro site pode desbloquear a conta.
• Pessoas de dentro ou ex-prestadores de serviço que mantiveram o acesso depois de sair.

Servidores de Discord e Telegram enfrentam riscos parecidos por meio de contas de moderadores comprometidas ou bots maliciosos que publicam em canais de anúncios.

Como o golpe se desenrola, passo a passo

1. 1Invasão. O atacante obtém acesso e muitas vezes troca o e-mail e o telefone de recuperação para bloquear a equipe.
2. 2Preparação. Ele monta um site convincente em um domínio parecido, geralmente ligado a um wallet drainer.
3. 3O post. Surge um anúncio falso: “Airdrop surpresa para holders”, “Nosso token está migrando; faça o swap agora” ou “Mint gratuito limitado, só 30 minutos”.
4. 4Amplificação. As respostas são restringidas para impedir alertas, o post pode ser fixado e outras contas comprometidas ou bots o compartilham.
5. 5O esvaziamento. As vítimas conectam carteiras e assinam aprovações ou transações que entregam seus ativos. Nosso explicativo sobre wallet drainers mostra como esses contratos funcionam.
6. 6Limpeza. A equipe recupera o acesso horas depois, apaga os posts e alerta os usuários, mas transações assinadas não podem ser revertidas.

Um exemplo hipotético

Este cenário é uma composição para fins ilustrativos, não um caso real. Imagine um projeto DeFi de porte médio com uma conta bem conhecida. Num domingo à noite, ele publica: “Para comemorar nosso aniversário, todos os holders podem resgatar um bônus. O claim fecha em duas horas”, com um link para um domínio que difere do oficial em uma letra. As respostas estão limitadas. Abordamos isso com mais detalhes em Como encontrar as contas sociais oficiais de um projeto cripto.

Muitos seguidores clicam. O site pede que conectem uma carteira e assinem uma solicitação de “claim”. Na verdade, a assinatura dá a um drainer permissão para mover seus tokens. Duas horas depois, os outros canais do projeto publicam um alerta de que a conta foi comprometida. A essa altura, o estrago já está feito. Veja também: Apps sociais cripto e redes no estilo Farcaster explicados.

Os indícios: uma recompensa não anunciada, um prazo curto, um domínio levemente errado, respostas limitadas e nenhum post correspondente no site do projeto. Leitura relacionada: Cursos falsos de trading de cripto e gurus.

Lista de sinais de alerta

Como verificar um anúncio

1. 1Confira o site oficial. A página de notícias, o blog ou um banner do site mencionam o anúncio? Digite o endereço você mesmo; não siga o link do post.
2. 2Confira outros canais oficiais. Veja a documentação do projeto, outras contas sociais ou o fórum oficial. As equipes costumam publicar um alerta ali rapidamente quando uma conta é comprometida.
3. 3Compare o domínio. Garanta que o link corresponda, caractere por caractere, ao domínio indicado na documentação oficial. Nosso guia sobre como verificar se um site é o site oficial do projeto traz um método passo a passo.
4. 4Espere. Claims e migrações reais raramente exigem ação em minutos. Esperar uma hora custa pouco; a pressa pode custar tudo.
5. 5Procure mensagens assinadas. Alguns projetos publicam declarações assinadas criptograficamente. Leia como verificar uma mensagem assinada por um projeto.

Como se proteger a longo prazo

• Salve os sites e apps oficiais nos favoritos e use apenas esses favoritos.
• Use uma carteira “burner” separada, com saldos pequenos, para claims e mints.
• Ative a simulação de transações ou o clear signing se sua carteira oferecer.
• Revogue regularmente as aprovações que você não usa.
• Siga os projetos em mais de um canal para poder conferir rapidamente.

O que fazer se você caiu

• Só visitou o site: feche-o e não baixe nada do que ele ofereceu.
• Conectou e assinou: revogue as aprovações e mova seus ativos para uma carteira segura.
• Digitou sua frase semente: crie uma carteira nova e transfira imediatamente os fundos restantes.

Nosso guia sobre o que fazer imediatamente se sua carteira for comprometida explica cada passo. Guarde o post, o link e os hashes das transações e denuncie o site falso pelo nosso formulário de denúncia de golpes. Para os próximos passos com plataformas e autoridades, leia como denunciar um golpe cripto e o que acontece depois.

Conclusão

Uma conta cripto hackeada no Twitter parece exatamente a verdadeira porque é a verdadeira, temporariamente nas mãos erradas. Trate qualquer post que peça para você conectar uma carteira como não verificado até confirmá-lo no site oficial ou em outro canal oficial. Alguns minutos de verificação bloqueiam a forma mais comum de essas invasões virarem prejuízo.