Phishing por meio de anúncios de busca: por que o primeiro resultado pode ser falso
Phishing cripto em anúncios de busca explicado: como resultados patrocinados falsos levam a wallet drainers e logins falsos, os sinais de alerta e como acessar os sites reais com segurança.
Golpistas compram anúncios de busca com os nomes de wallets, exchanges e apps DeFi populares, então o primeiro resultado “patrocinado” pode levar a um site falso convincente, criado para roubar sua frase de recuperação, seu login ou aprovações da sua wallet. O hábito mais seguro é simples: nunca acesse um site cripto por meio de um anúncio; use seus próprios favoritos.
Esse ataque funciona porque mira um momento de confiança. Você pesquisa um nome que conhece, clica no primeiro resultado e vê uma página que parece exatamente a certa. Nada parece suspeito — e esse é justamente o objetivo. Este guia explica como o esquema funciona, como ele aparece na prática e como se proteger.
Como funciona o phishing por anúncios de busca, passo a passo
- 1O golpista registra um domínio quase idêntico. Ele pode trocar uma letra, acrescentar uma palavra como “app” ou “claim”, usar outra terminação de domínio ou usar caracteres que parecem idênticos às letras latinas.
- 2Eles clonam o site real. Copiar o design de uma wallet, exchange ou app DeFi exige pouco esforço.
- 3Eles compram anúncios com o nome da marca. O anúncio mira buscas como o nome da wallet mais “download” ou o nome da exchange mais “login”.
- 4Eles driblam a revisão. Os truques incluem mostrar uma página inofensiva aos revisores e a página de phishing aos visitantes reais, ou redirecionar por vários domínios.
- 5As vítimas clicam e agem. O site falso pede uma frase de recuperação para “restaurar” uma wallet, captura a senha de uma exchange e o código de dois fatores, oferece o download de um app malicioso ou pede que você conecte uma wallet e assine uma transação.
- 6Os fundos são drenados. Com uma frase de recuperação ou uma aprovação de gastos, o atacante retira os ativos em minutos, muitas vezes por meio de mixers ou bridges.
A página falsa costuma sumir rápido, e um novo domínio com um novo anúncio toma seu lugar. Abordamos isso com mais detalhes em Golpes de empréstimos cripto.
Um exemplo hipotético
O que segue é um cenário composto e ilustrativo — não um caso real.
Imagine que Sam quer verificar uma posição DeFi. Sam digita o nome do protocolo em um buscador e clica no primeiro resultado, marcado como “Patrocinado” em letras pequenas. A página é idêntica ao app real. Um banner diz que uma “migração de segurança” exige que os usuários reconectem a wallet. Sam se conecta e recebe o pedido de assinar uma mensagem que parece um login de rotina. Veja também: Segurança da conta de e-mail para usuários de cripto.
Na verdade, a assinatura é um permit de tokens que dá ao atacante permissão para movimentar as stablecoins de Sam. Minutos depois, o saldo sumiu. Quando Sam olha a barra de endereços, o domínio tem uma letra a mais. Nosso artigo sobre ice phishing e assinaturas de permit mostra como essas assinaturas funcionam.
Checklist de sinais de alerta
| Sinal de alerta | O que pode indicar |
|---|---|
| O resultado está marcado como “Patrocinado” ou “Anúncio” | Qualquer pessoa pode pagar por essa posição |
| O domínio difere um pouco do que você conhece | Domínio de phishing quase idêntico |
| A página pede sua frase de recuperação | Sempre é golpe — apps legítimos nunca pedem isso |
| Banners urgentes sobre “migração”, “validação” ou “sincronização” | Tática clássica de pressão |
| A wallet pede para assinar uma aprovação ou permit que você não esperava | Possível contrato drainer |
| Link de download de app de wallet fora das lojas oficiais | Possível app falso ou malware |
| Site novinho, sem histórico | Domínio de phishing registrado recentemente |
Como se proteger
Crie hábitos de acesso seguros
- Salve os sites oficiais nos favoritos uma única vez, depois de verificá-los com cuidado, e use apenas esses favoritos. Nosso guia sobre como verificar se um site é o site oficial do projeto explica as verificações.
- Role a página para além dos anúncios em qualquer busca financeira ou cripto. Melhor ainda, evite pesquisar páginas de login.
- Instale apps de wallet somente a partir de links no site oficial ou de páginas verificadas nas lojas de apps, conferindo o nome do desenvolvedor. Veja apps de wallet falsos para conhecer os sinais de alerta.
Reduza o estrago se você escorregar
- Use uma hardware wallet que mostre os detalhes da transação na própria tela, e leia-os.
- Mantenha a maior parte dos fundos em uma wallet que você raramente conecta a apps e use uma wallet separada para experimentos.
- Revise e revogue aprovações de tokens regularmente.
- Use um bloqueador de anúncios ou uma configuração do navegador que oculte resultados patrocinados, se você se sentir confortável com isso.
Confira endereços, não aparências
Leia o domínio na barra de endereços antes de digitar qualquer coisa. Uma página com aparência perfeita não prova nada; o que importa é o domínio. Para se aprofundar, veja Ataques à cadeia de suprimentos.
O que fazer se aconteceu com você
- 1Pare de interagir com o site e desconecte sua wallet.
- 2Se você digitou uma frase de recuperação, crie uma wallet totalmente nova com uma nova frase de recuperação e transfira os fundos restantes imediatamente.
- 3Se você assinou uma aprovação, revogue-a usando um verificador de aprovações confiável e depois considere transferir os fundos para um novo endereço.
- 4Se você digitou o login de uma exchange, troque a senha, redefina a autenticação de dois fatores e entre em contato com o suporte da exchange pelo site oficial.
- 5Registre provas: o anúncio, o domínio, os hashes das transações e os horários.
- 6Denuncie ao buscador, ao projeto imitado e pelo nosso formulário de denúncia de golpes.
Nosso guia passo a passo sobre o que fazer imediatamente se sua wallet for comprometida explica a recuperação em detalhes. Desconfie de qualquer pessoa que depois entre em contato prometendo recuperar seus fundos — golpes de recuperação miram vítimas recentes.
Conclusão
Uma posição no topo da busca é algo que pode ser comprado, não uma prova de autenticidade. Golpistas usam resultados patrocinados para colocar sites cripto quase idênticos diante das pessoas exatamente no momento em que elas vão fazer login ou conectar uma wallet. Verifique os sites oficiais uma vez, salve-os nos favoritos, ignore os anúncios por completo e nunca digite uma frase de recuperação em um site. Esses hábitos tornam toda essa categoria de ataque irrelevante para você.
Perguntas frequentes
Um resultado de busca patrocinado pode ser golpe?
Sim. Golpistas compram anúncios com os nomes de wallets, exchanges e apps DeFi populares, e alguns passam pela revisão de anúncios antes de serem removidos. O anúncio pode exibir um título convincente e até uma URL de exibição que parece correta, enquanto o link real leva você a um site de phishing quase idêntico.
Como encontro com segurança o site oficial de um app cripto?
Ignore os anúncios por completo. Use um favorito que você salvou antes, digite o endereço que já conhece ou siga um link de uma fonte confiável, como a documentação verificada do projeto ou um site de dados respeitado. Quando tiver o endereço real, salve-o nos favoritos e, a partir daí, use apenas o favorito.
O que acontece se eu digitar minha frase de recuperação em um site falso?
Considere a wallet comprometida. Quem tem sua frase de recuperação controla todas as contas derivadas dela. Crie uma nova wallet com uma nova frase de recuperação em um dispositivo confiável e transfira imediatamente para ela os fundos restantes, começando pelos ativos mais valiosos.
Devo denunciar um anúncio cripto falso?
Sim. Denuncie o anúncio pela opção de denúncia de anúncios do buscador, informe o domínio ao projeto imitado e envie os detalhes a serviços de denúncia de golpes e, se você perdeu fundos, à polícia. As denúncias ajudam a remover o anúncio antes que outras pessoas caiam nele.