O Crime de Copiar e Colar: Como um Hábito Simples Está Drenando Milhões de Carteiras Cripto

Quando você envia cripto, qual é a sua rotina? Para a maioria de nós, envolve copiar o endereço do destinatário a partir do histórico de transações. Afinal, ninguém consegue memorizar uma sequência de 40 caracteres como 0x1A2b...8f9E. É um atalho conveniente que todos usamos.

Mas e se essa conveniência for uma armadilha cuidadosamente preparada?

Um golpe devastadoramente eficaz chamado Envenenamento de Endereço Blockchain está explorando exatamente esse hábito. Pesquisas recentes da Carnegie Mellon University revelaram a escala chocante dessa ameaça. Em apenas dois anos, nas redes Ethereum e Binance Smart Chain (BSC) sozinhas, os fraudadores realizaram mais de 270 milhões de tentativas de ataque, visando 17 milhões de vítimas e roubando com sucesso pelo menos US$ 83,8 milhões.

Isso não é uma ameaça de nicho; é um dos maiores e mais bem-sucedidos esquemas de phishing cripto em operação hoje. Veja como funciona e o que você pode fazer para se proteger.

---

Como a Enganação Funciona 🤔

O envenenamento de endereço é um jogo de truques visuais. A estratégia do atacante é simples, porém brilhante:

1. Gerar um Endereço Similar: O atacante identifica um endereço frequente para o qual você envia fundos. Em seguida, usa computadores poderosos para gerar um novo endereço cripto que tenha os mesmos caracteres iniciais e finais. Como a maioria das carteiras e exploradores de blocos encurtam os endereços para exibição (por exemplo, 0x1A2b...8f9E), o endereço fraudulento parece idêntico ao real à primeira vista.

2. “Envenenar” seu Histórico de Transações: Em seguida, o atacante precisa colocar seu endereço similar no seu histórico de carteira. Ele faz isso enviando uma transação “venenosa”. Isso pode ser:

   • Uma Transferência Minúscula: Ele envia a você uma quantia ínfima de cripto (como US$ 0,001) a partir do endereço similar. Ela passa a aparecer na sua lista de transações recentes.
   • Uma Transferência de Valor Zero: Em um movimento mais astuto, ele explora uma funcionalidade em muitos contratos de token para criar uma transferência falsa, de valor zero, que parece ter vindo de você para o endereço similar dele. Isso faz o endereço falso parecer ainda mais legítimo, como se você já tivesse enviado fundos para ele antes.
   • Uma Transferência de Token Falso: Ele cria um token sem valor, falso (por exemplo, “USDTT” ao invés de USDT) e falsifica uma transação para seu endereço similar, muitas vezes imitando o valor de uma transação real anterior sua.

3. Esperar o Erro: A armadilha está armada. Na próxima vez que você for pagar um contato legítimo, você verifica seu histórico de transações, vê o que acredita ser o endereço correto, copia‑o e confirma o envio. Quando perceber o erro, os fundos já terão desaparecido. E, graças à natureza irreversível da blockchain, não há banco para ligar nem como recuperar o dinheiro.

---

Um Vislumbre de uma Empresa Criminosa 🕵️‍♂️

Isso não é obra de hackers solitários. A pesquisa revela que esses ataques são realizados por grandes grupos organizados e altamente lucrativos.

Quem Eles Visam

Os atacantes não desperdiçam tempo com contas pequenas. Eles visam sistematicamente usuários que são:

• Ricos: Possuem saldos significativos em stablecoins.
• Ativos: Realizam transações frequentes.
• Transatores de Alto Valor: Movimentam grandes somas de dinheiro.

Uma Corrida Armamentista de Hardware

Gerar um endereço similar é uma tarefa computacional de força bruta. Quanto mais caracteres você quiser combinar, mais exponencialmente difícil fica. Pesquisadores descobriram que, embora a maioria dos atacantes use CPUs padrão para criar falsificações moderadamente convincentes, o grupo criminoso mais sofisticado elevou isso a outro nível.

Esse grupo de elite conseguiu gerar endereços que combinam até 20 caracteres do endereço alvo. Essa façanha é quase impossível com computadores padrão, levando os pesquisadores a concluir que eles utilizam enormes fazendas de GPUs — o mesmo tipo de hardware poderoso usado para jogos de alta performance ou pesquisa em IA. Isso demonstra um investimento financeiro significativo, que eles recuperam facilmente das vítimas. Esses grupos organizados estão operando como um negócio, e o negócio está, infelizmente, em alta.

---

Como Proteger seus Fundos 🛡️

Embora a ameaça seja sofisticada, as defesas são simples. Tudo se resume a quebrar maus hábitos e adotar uma postura mais vigilante.

1. Para Todo Usuário (Esta é a parte mais importante):

   • VERIFIQUE O ENDEREÇO COMPLETO. Antes de clicar em “Confirmar”, reserve cinco segundos extras para conferir manualmente todo o endereço, caractere por caractere. Não se limite a olhar apenas os primeiros e últimos dígitos.
   • USE UMA LISTA DE CONTATOS. Salve endereços confiáveis e verificados no livro de endereços ou lista de contatos da sua carteira. Ao enviar fundos, sempre selecione o destinatário dessa lista salva, e não do seu histórico de transações dinâmico.
   • ENVIE UMA TRANSAÇÃO DE TESTE. Para pagamentos grandes ou importantes, envie primeiro uma quantia mínima. Confirme com o destinatário que ele recebeu antes de enviar o valor total.

2. Um Apelo por Carteiras Melhores:

   • Desenvolvedores de carteiras podem ajudar melhorando as interfaces de usuário. Isso inclui exibir mais do endereço por padrão ou adicionar avisos fortes e explícitos quando o usuário está prestes a enviar fundos para um endereço com o qual só interagiu via transferência mínima ou de valor zero.

3. A Solução a Longo Prazo:

   • Sistemas como o Ethereum Name Service (ENS), que permitem mapear um nome legível como seunome.eth ao seu endereço, podem eliminar esse problema completamente. A adoção mais ampla é fundamental.

No mundo descentralizado, você é seu próprio banco, o que também significa que você é seu próprio chefe de segurança. O envenenamento de endereço é uma ameaça silenciosa, porém poderosa, que se alimenta da conveniência e da desatenção. Ao ser deliberado e conferir duas vezes seu trabalho, você garante que seus ativos arduamente conquistados não acabem na armadilha de um fraudador.