Wallet drainers: como aprovações maliciosas roubam suas criptomoedas

Um wallet drainer é um site ou script malicioso que engana você para assinar transações ou mensagens que dão a um atacante permissão para movimentar seus tokens e NFTs, e depois usa essa permissão para esvaziar sua carteira. O atacante nunca precisa da sua frase de recuperação: sua própria assinatura faz o trabalho.

Os drainers estão por trás de muitas das perdas relatadas após airdrops falsos, mints falsos e contas de projetos hackeadas em redes sociais. Eles já foram vendidos como kits prontos, às vezes chamados de “drainer-as-a-service”, o que significa que até golpistas sem habilidade técnica conseguem usá-los. Entender o que você está assinando é a melhor defesa.

Como funcionam as aprovações de tokens (e por que os drainers as adoram)

No Ethereum e em outras redes EVM, os aplicativos descentralizados não conseguem movimentar seus tokens sozinhos. Primeiro você concede uma aprovação: permissão para que um contrato específico gaste um token específico em seu nome, até um valor definido. DEXs e protocolos de empréstimo precisam disso para funcionar.

O problema é que muitos aplicativos pedem aprovações ilimitadas por conveniência, e as aprovações continuam ativas até você revogá-las. Um drainer simplesmente pede que você aprove o contrato dele em vez de um legítimo. Depois que você assina, o atacante pode executar uma transferência quando quiser.

Para NFTs, o equivalente é o setApprovalForAll, que permite a um operador movimentar todos os NFTs que você tem em uma coleção. Marketplaces o usam de forma legítima; drainers o usam para levar coleções inteiras de uma vez. Para se aprofundar, veja Golpes com cripto no Instagram e no TikTok.

As assinaturas que os drainers usam

Assinaturas sem gas são especialmente enganosas. Como não custam taxa, as pessoas supõem que são “logins” inofensivos. Algumas são. Outras são permits que autorizam gastos. Nosso artigo sobre ice phishing e assinaturas permit explica isso em detalhes.

Como um ataque de drainer costuma acontecer

1. 1A isca. Um link chega por um anúncio falso de airdrop, uma resposta a uma publicação oficial, um servidor do Discord hackeado, um anúncio patrocinado em buscadores ou uma mensagem direta oferecendo “suporte”.
2. 2O site convincente. A página copia o design de um projeto real e pede que você conecte sua carteira.
3. 3Varredura de ativos. Os scripts do drainer verificam seus saldos e pedem primeiro aprovações para seus ativos mais valiosos.
4. 4A assinatura. As solicitações aparecem como “resgatar”, “verificar”, “mintar” ou “sincronizar”, com urgência criada por contagens regressivas.
5. 5A limpeza. Os ativos são transferidos, muitas vezes em segundos, e rapidamente trocados ou enviados por pontes para dificultar o rastreamento.

Por que os drainers também pegam usuários experientes

Os drainers não dependem de sites obviamente falsos. Muitos ataques começam a partir da conta comprometida de um projeto verdadeiro, então o anúncio parece real porque é publicado na conta real. Outros aparecem justamente quando um airdrop ou mint real está em alta, quando as pessoas esperam assinar transações e correm para chegar cedo. Leitura relacionada: Ataques de SIM swap. Se quiser ir além, leia Golpes de falsa migração de tokens e swap.

Além disso, as solicitações da carteira são parecidas, seja ao aprovar uma DEX confiável ou um contrato de drainer. A diferença está nos detalhes: o endereço do gastador, o token e o valor. Usuários experientes caem quando o hábito toma conta e clicam em “confirmar” como já fizeram cem vezes. Tratamos disso com mais detalhes em Extensões de navegador maliciosas que roubam cripto. Leitura relacionada: Segurança da conta de e-mail para usuários de cripto.

Sinais de alerta antes de assinar

• Você chegou por uma mensagem direta, uma resposta, um anúncio ou um link que não procurou por conta própria.
• O site pede aprovação para um token que você não pretendia negociar.
• O valor da aprovação é ilimitado ou o endereço do gastador é desconhecido.
• Pedem que você assine uma mensagem que não consegue ler, ou sua carteira alerta sobre assinatura às cegas.
• Há pressão: “o resgate expira em 10 minutos”, “sua carteira será suspensa”.
• O domínio está um pouco diferente, foi registrado recentemente ou usa uma extensão incomum. Veja sites de phishing de cripto.

Como se proteger

1. 1Use uma carteira descartável para novos mints, airdrops e aplicativos desconhecidos, guardando nela apenas o necessário. Mantenha os investimentos de longo prazo em outra carteira que raramente se conecta a algo. Nosso guia sobre carteiras descartáveis explica como configurá-la.
2. 2Leia cada solicitação. Confira a ação, o token, o valor e o gastador antes de assinar. Se não entender, rejeite.
3. 3Prefira aprovações limitadas quando sua carteira permitir definir um valor personalizado.
4. 4Ative as prévias de transação ou os recursos de simulação da sua carteira, se houver; eles mostram o que vai sair da sua carteira.
5. 5Revogue regularmente. Revise e remova aprovações antigas. Nosso guia passo a passo sobre como revogar aprovações de tokens mostra como.
6. 6Acesse diretamente. Digite os endereços que você conhece ou use favoritos salvos em vez de clicar em links.

Se você acha que sua carteira foi esvaziada

Aja rápido, porque os atacantes costumam voltar para pegar os ativos restantes:

• Revogue todas as aprovações que você não reconhece.
• Mova os fundos restantes para uma carteira totalmente nova, com uma nova frase de recuperação, especialmente se você digitou sua frase de recuperação em algum lugar.
• Anote os hashes das transações, os endereços do atacante e a URL do site.
• Denuncie o site e os endereços, por exemplo pelo nosso formulário de denúncia de golpes, e à plataforma onde você encontrou o link.
• Ignore quem se oferecer para recuperar seus fundos mediante pagamento; os golpes de recuperação miram vítimas recentes.

Veja também nossa lista sobre o que fazer imediatamente se sua carteira for comprometida.

Conclusão

Wallet drainers não quebram a criptografia da sua carteira; eles fazem você autorizar o roubo. Trate cada assinatura como uma possível transferência de controle, mantenha os ativos valiosos em uma carteira que nunca tenha contato com sites desconhecidos e faça uma limpeza regular das aprovações. Parar por trinta segundos antes de assinar é a ferramenta de segurança mais eficaz que você tem.