Phishing em carteiras digitais: como se proteger

Uma carteira de criptomoedas bem configurada é difícil de invadir por força bruta. Por isso, a maior parte dos roubos não ataca a tecnologia. Ataca quem usa a carteira. O nome disso é phishing: mensagens, sites ou aplicativos que se passam por algo confiável para fazer a vítima entregar dados ou executar uma ação.

A agência de cibersegurança dos Estados Unidos (CISA) define phishing como uma forma de engenharia social em que o atacante usa e-mail ou sites maliciosos, fingindo ser uma organização confiável, para obter informações pessoais (CISA). Em carteiras digitais, o golpe ganha formas próprias. Este texto descreve as técnicas mais documentadas e o que reduz o risco de cada uma.

O que o golpista quer de você

Nas carteiras em que você controla as chaves, o phishing costuma buscar uma de três coisas:

• A frase-semente. As 12 a 24 palavras que recriam a carteira em qualquer aparelho. Com elas, o golpista leva tudo. O artigo como proteger a frase-semente trata só desse tema.
• A sua assinatura. Em redes com contratos inteligentes, como a do Ethereum, você assina permissões para que aplicativos movimentem seus tokens. Uma assinatura dada a um contrato malicioso pode bastar para esvaziar a carteira.
• O seu envio. Às vezes o golpista não toca na carteira. Ele só faz você mandar os fundos para o endereço dele, achando que é outro.

Em todos os casos, o resultado é o mesmo: uma transação válida na blockchain, que não pode ser desfeita. O ethereum.org lembra que uma transação enviada é irreversível (ethereum.org, Security). Se você ainda não conhece a relação entre chave, endereço e blockchain, comece por o que é Bitcoin e como ele funciona.

O tamanho do problema

Não há estatística brasileira pública e consolidada sobre phishing em carteiras cripto. O dado oficial mais amplo vem dos Estados Unidos. O relatório anual do IC3, o centro de denúncias de crimes na internet do FBI, divulgado em abril de 2026 com dados de 2025, registrou 181.565 denúncias que envolviam criptomoedas, com perdas declaradas de US$ 11,366 bilhões, alta de 22% em relação a 2024 (FBI IC3, relatório 2025). Dessas denúncias, 7.164 foram classificadas como phishing ou falsificação de identidade, com cerca de US$ 111 milhões em perdas declaradas.

Esses números refletem só quem denunciou ao FBI e misturam vários tipos de fraude. Servem como ordem de grandeza, não como medida do risco individual.

Técnica 1: apps e sites falsos

O golpe mais direto é imitar uma carteira, uma corretora ou uma plataforma de investimento. O site ou aplicativo falso pede a frase-semente para “importar” a carteira ou recebe depósitos que nunca poderão ser sacados.

Uma notificação do FBI de julho de 2022 descreveu criminosos que convenciam investidores a baixar aplicativos falsos de investimento em criptomoedas. O FBI identificou 244 vítimas e perdas estimadas em US$ 42,7 milhões. Os golpistas usavam nomes, logotipos e dados de empresas reais. Quando algumas vítimas tentavam sacar, recebiam a cobrança de um suposto imposto e, mesmo depois de pagar, continuavam sem conseguir retirar o dinheiro (FBI, PIN 20220718-001).

Como se proteger. Instale carteiras só a partir do site oficial do projeto ou da loja oficial do sistema, conferindo o desenvolvedor. Desconfie de aplicativos indicados por contatos que você não conhece pessoalmente, como recomenda o mesmo alerta. Antes de abrir o site de uma carteira ou corretora, digite o endereço você mesmo ou use um favorito salvo, em vez de clicar em links recebidos ou em anúncios de busca. O ethereum.org pede para sempre conferir se você está no domínio certo, principalmente depois de clicar em um link.

Técnica 2: airdrops e “recompensas grátis”

Airdrop é a distribuição gratuita de tokens para várias carteiras, usada às vezes como marketing. Golpistas copiaram o formato.

Em junho de 2025, o FBI alertou para tokens enviados a carteiras da rede Hedera com um link no campo de observação da transação. Para “resgatar a recompensa”, a vítima conectava a carteira a um site que pedia login, dados de segurança e a frase-semente. O alerta cita também anúncios de airdrops falsos em redes sociais e e-mails de phishing (FBI IC3, PSA I-060325).

Como se proteger. Trate token que aparece sem você pedir como suspeito. Não clique em links que vêm junto dele e não tente vendê-lo ou movimentá-lo por sites desconhecidos. O FBI recomenda confirmar a oferta diretamente com o fornecedor, por canais verificados, antes de aceitar qualquer coisa.

Técnica 3: permissões e assinaturas maliciosas

Esta técnica é típica de redes com contratos inteligentes. Ela não exige a frase-semente.

Quando você usa um aplicativo descentralizado, ele costuma pedir uma aprovação: uma permissão para que um contrato gaste determinado token da sua carteira. O ethereum.org explica que muitos projetos pedem aprovação de valor ilimitado e que essas permissões não expiram (ethereum.org, revogar acesso). Se o contrato for malicioso, ou se for comprometido depois, ele pode transferir seus tokens quando quiser.

Kits de roubo conhecidos como drainers exploram exatamente isso. O site falso parece um aplicativo legítimo, pede para você “conectar” a carteira e, em seguida, apresenta uma assinatura que, na prática, entrega o controle dos seus tokens. O ethereum.org cita sites de airdrop que pedem a aprovação de uma transação que compromete a conta.

Como se proteger.

• Leia a mensagem da transação antes de assinar, como orienta o ethereum.org. Se a carteira mostra um pedido que você não entende, recuse.
• Não conceda limites ilimitados. Autorize só o valor necessário para aquela operação.
• Revise e revogue permissões antigas de tempos em tempos. Desconectar a carteira de um site não remove as permissões já dadas; é preciso revogá-las, o que custa uma taxa de rede.
• Use uma carteira separada, com pouco saldo, para testar aplicativos novos. Na avaliação da redação, isso limita o estrago de uma assinatura errada.

Revogar uma permissão impede usos futuros. Não traz de volta o que já foi levado.

Técnica 4: envenenamento de endereço

Endereços de carteira são sequências longas de letras e números. Muita gente não confere o endereço inteiro e copia o destino do próprio histórico de transações. O envenenamento de endereço explora esse hábito.

Segundo o centro de pesquisa CyLab, da Universidade Carnegie Mellon, o golpista gera um endereço com o começo e o fim iguais aos de um endereço com que você já transacionou e envia a você um valor pequeno, ou até zero, a partir dele. O endereço falso passa a aparecer no seu histórico. Se depois você copiar dali, o dinheiro vai para o golpista (CyLab, janeiro de 2026).

O estudo apresentado no simpósio USENIX Security de 2025 mediu dois anos de transações nas redes Ethereum e BNB Smart Chain. Os autores encontraram 270 milhões de tentativas contra 17 milhões de vítimas e ao menos US$ 83,8 milhões em perdas (Tsuchiya et al., USENIX Security 2025). Segundo o CyLab, só cerca de uma tentativa em 10 mil dá certo, mas o volume torna o golpe lucrativo. Em 19 de dezembro de 2025, a ferramenta dos pesquisadores detectou um único ataque bem-sucedido de cerca de US$ 50 milhões.

As carteiras nem sempre ajudam. Um estudo de agosto de 2025 testou 53 carteiras populares de Ethereum: 16 representavam alto risco porque exibiam as transferências falsas de tokens no histórico, e só 3 mostravam um aviso explícito quando o usuário tentava enviar a um endereço de phishing (Guan e Li, arXiv 2025).

Os estudos citados tratam de redes compatíveis com Ethereum. O princípio, porém, vale para qualquer blockchain em que você copie endereços do histórico.

Como se proteger.

• Não copie endereços do histórico de transações. Pegue o endereço da fonte original ou de uma lista de contatos salva na carteira.
• Confira o endereço inteiro, não só o começo e o fim. Em valores altos, faça antes uma transferência pequena de teste e confirme com o destinatário por outro canal.
• Desconfie de transferências minúsculas ou de valor zero que você não esperava, como recomenda o CyLab.

Técnica 5: falso suporte e falsa recuperação

Golpistas se passam por atendentes de carteiras, corretoras e até órgãos públicos. O ethereum.org afirma que equipes legítimas não se comunicam por canais privados e não oficiais, e recomenda nunca compartilhar chaves, frases ou senhas, nem permitir acesso remoto ao computador.

Uma variante atinge quem já perdeu dinheiro. O relatório do IC3 contou, em 2025, 10.516 denúncias de golpes de recuperação, com US$ 1,4 bilhão em perdas declaradas; o FBI observa que esse valor pode incluir perdas do golpe anterior. Um alerta de agosto de 2025 descreve falsos escritórios de advocacia que dizem atuar com órgãos do governo, conhecem valores e datas das transferências da vítima e cobram taxas, muitas vezes em criptomoeda, para “recuperar” os fundos (FBI IC3, PSA I-081325). O FBI afirma que nenhum escritório de advocacia é parceiro oficial das agências do governo americano.

Como se proteger. Não responda a pedidos de dados que você não iniciou. Procure o suporte pelo site oficial, digitado por você. Trate qualquer oferta de recuperação de cripto, sobretudo com pagamento adiantado, como provável fraude.

Sinais de alerta em qualquer mensagem

A cartilha do CERT.br, centro brasileiro de resposta a incidentes de segurança, lista sinais que se repetem em quase todo golpe: ameaça, pressa, apelo afetivo, pedido de segredo, vantagem boa demais, oportunidade exclusiva e invocação de autoridade (CERT.br, Golpes: Não se Deixe Enganar). Os alertas do FBI e do ethereum.org citados acima acrescentam sinais próprios de cripto:

• pedido de frase-semente, senha ou código de uso único em um contato que você não iniciou;
• token ou “recompensa” que chegou sem você pedir, acompanhado de link;
• site que pede para conectar a carteira e assinar algo que você não entende;
• endereço de site diferente do domínio oficial, ainda que por uma letra.

O CERT.br observa que golpistas estão cada vez mais convincentes e usam até inteligência artificial. Texto bem escrito não é sinal de legitimidade. Vale a regra da cartilha: desconfie, informe-se, verifique.

Se você caiu em um golpe

O CERT.br orienta a agir rápido (CERT.br, Caiu? Veja o que Fazer). Adaptando as recomendações gerais da cartilha ao caso de carteiras cripto:

1. Corte o contato com o golpista. Não envie mais dinheiro nem dados e não tente negociar.
2. Se a frase-semente foi exposta, crie uma carteira nova, com frase nova, e transfira para ela o que restou. A frase antiga não pode ser trocada.
3. Se você assinou uma permissão suspeita, revogue-a imediatamente e mova os tokens restantes.
4. Se instalou um app ou abriu arquivo indicado pelo golpista, considere o aparelho comprometido. A cartilha recomenda restaurar o celular às configurações de fábrica ou reinstalar o computador.
5. Guarde evidências: links, mensagens, perfis, capturas de tela, comprovantes e os endereços e identificadores das transações.
6. Registre boletim de ocorrência, o que na maioria dos casos pode ser feito online, e denuncie o perfil ou anúncio na plataforma onde o golpe começou.
7. Se o dinheiro saiu por Pix para comprar cripto do golpista, conteste a transferência no banco para acionar o MED, o Mecanismo Especial de Devolução. Transferências feitas diretamente na blockchain não têm mecanismo equivalente.

Depois disso, espere tentativas de golpe de recuperação e não pague a ninguém que prometa trazer os fundos de volta.

O que levar deste texto

• O phishing em cripto quer a sua frase, a sua assinatura ou o seu envio. Proteger os três é o que importa.
• Nenhum suporte, airdrop ou aplicativo legítimo pede a frase-semente. Leia o que assina, não conceda permissões ilimitadas e confira o endereço inteiro antes de enviar.
• Não há estorno na blockchain. Se cair em um golpe, aja rápido para salvar o que restou e desconfie de quem promete recuperar o resto.