Riscos dos endereços vanity e endereços parecidos
Riscos dos endereços vanity explicados: como endereços cripto personalizados e parecidos são criados, como golpistas os exploram, falhas de geradores fracos e como se proteger.
Endereços vanity, endereços de carteira com um padrão escolhido, como um nome ou caracteres repetidos, trazem dois riscos principais: se a chave privada foi gerada por uma ferramenta fraca ou não confiável, outra pessoa pode conseguir recriá-la e roubar os fundos, e golpistas usam as mesmas técnicas para criar endereços parecidos que enganam você para enviar cripto a eles. Os dois riscos dependem de como os endereços são gerados e de como você os confere.
A maioria das pessoas só dá uma olhada rápida nos primeiros e últimos caracteres de um endereço. Os atacantes sabem disso e montam seus golpes em torno desse hábito. Entender o mecanismo ajuda você a evitar os dois tipos de perda.
Como os endereços vanity são criados
Um endereço cripto é derivado de uma chave pública, que vem de uma chave privada. Você não pode escolher um endereço diretamente; só pode gerar chaves aleatoriamente e verificar se o endereço resultante corresponde ao seu padrão.
- 1Gerar uma chave privada aleatória.
- 2Derivar a chave pública e o endereço.
- 3Verificar se o endereço começa ou termina com os caracteres escolhidos.
- 4Se não, repetir, muitas vezes bilhões de vezes.
Cada caractere extra que você quer fazer coincidir multiplica o trabalho, por isso padrões curtos são rápidos e os longos exigem um poder computacional enorme. A segurança do endereço final depende inteiramente do passo 1: a chave privada precisa vir de uma aleatoriedade forte. Falamos disso com mais detalhes em Como identificar um app cripto falso na loja de aplicativos.
Risco 1: geradores vanity fracos
Se um gerador toma atalhos na aleatoriedade para rodar mais rápido, as chaves “aleatórias” podem vir de um conjunto de possibilidades muito menor. Um atacante que entenda o atalho pode vasculhar esse conjunto menor e recuperar chaves privadas.
Isso não é teórico. Em 2022, foi divulgada publicamente uma vulnerabilidade no Profanity, uma ferramenta popular de endereços vanity para Ethereum, mostrando que suas chaves podiam ser descobertas por força bruta. Mais tarde, fundos foram drenados de endereços criados com ela, incluindo um roubo amplamente noticiado da empresa de trading Wintermute, ligado a um endereço vanity. A lição: um endereço vanity é tão seguro quanto o código que o gerou.
Outros riscos de geradores incluem:
- Geradores online que criam a chave em um servidor, onde o operador poderia guardar uma cópia.
- Serviços de “chave dividida” mal implementados, em que o provedor consegue reconstruir sua chave.
- Ferramentas sem manutenção com bugs conhecidos que ninguém corrigiu.
Risco 2: endereços parecidos e address poisoning
Golpistas usam a geração no estilo vanity com outro objetivo: copiar as partes visíveis dos seus endereços.
Veja como funciona um ataque de address poisoning:
- 1O atacante monitora a blockchain em busca de carteiras ativas e dos endereços para os quais elas enviam com frequência.
- 2Ele gera um endereço parecido que coincide com os primeiros e os últimos caracteres de um desses endereços.
- 3Ele envia a você, a partir do endereço parecido, uma transação sem valor, uma transação minúscula ou uma transferência falsa de token, para que ele apareça no seu histórico de transações.
- 4Mais tarde, você copia um endereço do histórico para fazer um pagamento e escolhe o parecido por engano.
- 5Seus fundos vão para o atacante, e transferências em blockchain não podem ser revertidas.
Nosso guia detalhado sobre ataques de address poisoning aborda variações desse golpe.
Um exemplo composto (hipotético)
Este é um exemplo inventado. Imagine que “Leo” envia regularmente stablecoins para o seu endereço de depósito em uma exchange, que começa com “0x7a3f” e termina com “c91e”. Um dia, aparece no histórico da carteira dele uma transferência de zero tokens vinda de um endereço que também começa com “0x7a3f” e termina com “c91e”, mas tem caracteres diferentes no meio. Uma semana depois, Leo abre o histórico, copia o endereço mais recente que parece corresponder, confere os quatro primeiros e os quatro últimos caracteres e envia um valor alto. O dinheiro vai para o golpista.
Lista de sinais de alerta
- Transferências sem valor ou de poeira (dust) vindas de endereços desconhecidos no seu histórico.
- Tokens desconhecidos “enviados” de um endereço parecido com um que você usa.
- Um endereço que coincide nas pontas, mas difere no meio.
- Um site ou uma pessoa que se oferece para gerar um endereço personalizado “para você”.
- Uma ferramenta vanity de código fechado, sem manutenção ou anunciada de forma agressiva.
- Pressão para enviar rápido, sem tempo para uma transação de teste.
Como se proteger
| Situação | Prática segura |
|---|---|
| Enviar para um destinatário frequente | Salve o endereço uma vez na agenda de endereços da carteira depois de verificá-lo; envie a partir dela |
| Copiar um endereço | Copie da solicitação verificada do destinatário ou da sua agenda de endereços, nunca do histórico de transações |
| Conferir um endereço | Compare o endereço completo, ou pelo menos muitos caracteres do início, do meio e do fim |
| Transferências grandes | Envie primeiro um pequeno valor de teste e confirme o recebimento |
| Usar uma carteira de hardware | Verifique o endereço completo na tela do dispositivo antes de aprovar |
| Querer um endereço vanity | Use um software de código aberto bem revisado no seu próprio dispositivo offline, ou desista da ideia |
Nosso guia sobre como verificar um endereço de carteira antes de enviar traz uma rotina passo a passo. Algumas carteiras também ocultam ou sinalizam transferências sem valor; ative esses filtros se estiverem disponíveis.
O que fazer se já aconteceu
- Se você enviou fundos para um endereço parecido: em geral, não é possível reverter. Anote o hash da transação, denuncie o endereço ao provedor da sua carteira e à exchange envolvida e denuncie-o pela nossa página de denúncia de golpes. Se os fundos chegarem a uma exchange, ela talvez possa agir.
- Se o seu endereço vanity foi criado com uma ferramenta fraca: mova os fundos imediatamente para uma nova carteira criada com um software padrão e bem revisado e, depois, revogue as aprovações de tokens do endereço antigo.
- Se você suspeita que suas chaves foram expostas: siga o que fazer imediatamente se sua carteira for comprometida.
Desconfie de qualquer pessoa que entre em contato prometendo recuperar seus fundos mediante uma taxa; esse é um golpe de acompanhamento comum.
Conclusão
Um endereço vanity é apenas estético, mas os riscos por trás dele são reais: geradores fracos podem expor sua chave privada, e os mesmos truques de correspondência de padrões permitem que golpistas criem endereços parecidos com os seus. Gere chaves apenas com software confiável, copie endereços de fontes verificadas, confira a sequência completa e use transações de teste para valores altos.
Perguntas frequentes
O que é um endereço vanity em cripto?
Um endereço vanity é um endereço de carteira que contém um padrão escolhido, como uma palavra ou uma sequência de caracteres repetidos, geralmente no início ou no fim. Ele é criado gerando enormes quantidades de pares de chaves até que um produza um endereço que corresponda ao padrão. Funciona como qualquer outro endereço, mas a forma como foi gerado importa muito para a segurança.
Endereços vanity são seguros?
Podem ser, se a chave privada foi gerada com aleatoriedade forte no seu próprio dispositivo, usando um software bem revisado. Tornam-se perigosos se você usar um gerador online, um terceiro que possa guardar uma cópia da chave ou uma ferramenta com um gerador de números aleatórios fraco. Os fundos nesses endereços podem ser roubados a qualquer momento.
Como funcionam os golpes com endereços parecidos?
Golpistas geram endereços que compartilham os primeiros e os últimos caracteres com um endereço que você usa e depois enviam a você uma transação minúscula ou sem valor, para que o endereço parecido apareça no seu histórico. Se mais tarde você copiar um endereço do histórico em vez de uma fonte confiável, pode acabar enviando fundos ao golpista.
Como evitar enviar cripto para um endereço parecido?
Copie endereços de uma fonte confiável, como sua agenda de endereços salva ou a solicitação verificada do destinatário, e não do histórico de transações. Compare o endereço completo, não apenas o início e o fim, e envie um pequeno valor de teste em transferências grandes. Carteiras de hardware permitem confirmar o endereço completo em uma tela separada.