A maioria dos roubos de criptomoeda não envolve um ataque informático sofisticado a uma blockchain ou a uma exchange. Envolve uma pessoa que é convencida, durante alguns segundos, a clicar num link, a escrever uma frase, ou a aprovar uma transação que não compreendeu totalmente. Isso é phishing, e os observadores do setor têm identificado consistentemente esta técnica como a principal causa de perdas individuais de cripto, ano após ano, mesmo à medida que os truques específicos evoluem.
A empresa de segurança blockchain Scam Sniffer relatou que o phishing por drenagem de carteira causou cerca de 84 milhões de dólares em perdas em mais de 106 mil carteiras em 2025, uma queda acentuada face aos 494 milhões de dólares perdidos em mais de 332 mil carteiras no ano anterior. A queda nas perdas totais é encorajadora, mas o número de incidentes distintos manter-se elevado conta uma história mais importante: as ferramentas que alimentam os ataques de phishing são agora baratas, automatizadas, e amplamente disponíveis, pelo que os atacantes deslocaram o foco de golpes ocasionais de grande valor para campanhas de maior volume contra detentores comuns de retalho. A perda média por vítima em 2025 foi de cerca de 790 dólares, um valor suficientemente baixo para que muitas vítimas nem se deem ao trabalho de o denunciar, o que provavelmente significa que os números reais são ainda mais elevados.
O que o phishing realmente significa num contexto de cripto
Na banca tradicional, phishing normalmente significa enganar alguém para escrever uma palavra-passe numa página de login falsa. O phishing de cripto usa a mesma ideia mas tem mais formas de a executar, porque uma carteira de cripto pode ser comprometida através de uma palavra-passe, de uma frase semente, de uma chave privada, ou de uma única assinatura maliciosa. Compreender qual destes elementos um atacante procura ajuda a explicar por que as mensagens têm o aspeto que têm.
Phishing de credenciais e de frase semente
A forma mais antiga simplesmente pede informação. Uma página de login falsa de uma exchange, uma aplicação de carteira clonada, ou um formulário de apoio que pede para escrever a sua frase de recuperação para verificar a sua identidade estão todos a tentar levá-lo a entregar diretamente a chave mestra dos seus fundos. Para uma análise completa de como este mecanismo específico funciona, veja o nosso guia sobre roubo de frase semente.
Phishing de aprovação maliciosa
A técnica mais moderna e atualmente mais comum não pede de todo a sua frase semente. Em vez disso, uma página falsa de reclamação de airdrop, um mint de NFT, ou uma ferramenta de troca de tokens pede-lhe para ligar a sua carteira e aprovar uma transação. Escondida dentro dessa transação está uma permissão de contrato inteligente que dá ao atacante o direito de mover tokens para fora da sua carteira sempre que escolher, por vezes de imediato, por vezes dias ou semanas depois, quando já se esqueceu de ter visitado o site. Como tecnicamente foi você a assinar a aprovação, isto é mais difícil de reverter e mais difícil de processar judicialmente do que o roubo direto de uma palavra-passe. O nosso guia sobre aprovações de token maliciosas aborda este mecanismo com mais detalhe.
Um ataque de phishing nem sempre precisa da sua frase semente. Uma única transação aprovada num site falso pode dar a um atacante permissão permanente para esvaziar a sua carteira mais tarde.
Um ataque de phishing do início ao fim
Ajuda percorrer um exemplo realista em vez de tratar o phishing como uma categoria abstrata, porque cada passo individual é, por si só, pouco notável. É apenas a sequência que resulta num roubo.
Passo um: um alerta que parece rotineiro
O alvo recebe um email que se parece, à primeira vista, exatamente com as notificações de segurança que a sua exchange real envia regularmente. A linha de assunto refere um novo login de dispositivo a partir de uma localização desconhecida, o nome do remetente corresponde ao da exchange, e o corpo do email inclui o logótipo real da exchange e o texto de rodapé copiado diretamente de uma mensagem genuína. Um botão diz "Proteger a minha conta" e liga a um domínio que difere do real por um único carácter, algo como uma letra extra, uma extensão de domínio trocada, ou um hífen inserido entre duas palavras.
Passo dois: uma página de login que pede mais uma coisa
A página clonada é visualmente idêntica ao ecrã de login real, muitas vezes construída ao copiar o código-fonte da própria página real, pelo que não há nada visível que levante suspeitas. O alvo introduz o seu email e palavra-passe como habitualmente. A página falsa pede então um código de autenticação de dois fatores, exatamente como o site real faria, e encaminha silenciosamente tanto a palavra-passe como o código para a própria sessão do atacante com a exchange real em tempo real, uma técnica por vezes chamada ataque de adversário no meio. Como o código é usado dentro de segundos, a curta janela de validade que normalmente protege a autenticação de dois fatores não oferece aqui qualquer defesa.
Passo três: o levantamento silencioso
Com uma sessão autenticada ativa, o atacante altera o endereço de levantamento da conta ou, se a exchange o permitir, simplesmente inicia um levantamento para uma carteira que controla. Num fluxo de carteira de autocustódia, o passo equivalente é um pedido de assinatura em vez de um login, em que o alvo é convidado a aprovar o que parece ser uma transação rotineira mas que é na verdade uma aprovação de token ou uma transferência disfarçada atrás de um nome de função enganador. De qualquer forma, quando o alvo repara em algo fora do normal, os fundos já saíram tipicamente da conta e começaram a mover-se através de várias carteiras intermediárias.
Nenhum destes três passos parece dramático isoladamente. Um email, uma página de login, um campo de introdução de código. O que torna o phishing eficaz é que cada passo espelha uma interação completamente normal que o alvo já realizou dezenas de vezes antes, pelo que nada na sequência desencadeia o tipo de hesitação que um pedido mais obviamente suspeito provocaria.
Os canais de distribuição em que os burlões confiam
O mecanismo do roubo é apenas metade da história. A outra metade é como o link de phishing chega até si em primeiro lugar, e é aqui que os atacantes se tornaram muito mais criativos.
- Anúncios em motores de pesquisa que superam o site real da carteira ou exchange na pesquisa pelo seu próprio nome de marca, enviando quem pesquisa para um clone perfeito ao pixel
- Extensões de navegador falsas listadas em lojas de aplicações oficiais, imitando carteiras bem conhecidas
- Mensagens diretas no X, Telegram, ou Discord de contas que se fazem passar por equipas de apoio ou equipas de projetos
- Campanhas de email que falsificam alertas de segurança de exchanges, avisando de uma tentativa de login que precisa de verificação imediata
- Contas de redes sociais comprometidas ou clonadas de projetos reais de cripto, a publicar links falsos de airdrop ou de mint
- Mensagens SMS a alegar que um levantamento foi bloqueado e a pedir ao destinatário que confirme a sua identidade através de um link
Por que os motores de pesquisa se tornaram um canal preferido
A colocação paga em motores de pesquisa é atrativa para as operações de phishing porque não depende de enganar um filtro de spam ou de contornar a verificação de conta de uma plataforma, basta pagar por um espaço de anúncio. Uma pesquisa pelo nome de uma carteira bem conhecida pode devolver um resultado patrocinado colocado acima do site real, e como o visitante escreveu o nome da marca por conta própria em vez de clicar num link não solicitado, muitas vezes presume que o primeiro resultado deve ser legítimo. As plataformas de anúncios removem, de facto, estas listagens depois de denunciadas, mas tendem a surgir novas a partir de contas diferentes dentro de dias, o que significa que o canal continua a produzir vítimas mesmo com a remoção de anúncios individuais.
Por que o Telegram e o Discord continuam especialmente vulneráveis a exploração
As comunidades de cripto vivem de forma desproporcionada no Telegram e no Discord em comparação com a maioria das outras indústrias, e ambas as plataformas tornam trivial criar uma conta com um nome de exibição e uma foto de perfil que imitam de perto a equipa de apoio de um projeto real. Um burlão pode juntar-se a um servidor público, monitorizar o canal à procura de alguém a descrever um problema, e enviar uma mensagem direta em segundos, tudo sem precisar de comprometer nada. Como os próprios servidores são oficiais e cheios de participantes genuínos, o ambiente empresta ao impostor uma forma de credibilidade emprestada que um email não solicitado nunca consegue obter.
Os investigadores também assinalaram um aumento acentuado no conteúdo de phishing gerado por IA, com uma análise de 2025 a encontrar um aumento de cerca de 70 por cento nos emails de phishing escritos por IA, que soam mais naturais e são mais difíceis de sinalizar tanto para filtros de spam como para leitores humanos, em comparação com as mensagens mais desajeitadas e cheias de erros de ortografia de há alguns anos. As ferramentas de IA também tornaram muito mais barato produzir sites clonados convincentes, campanhas de phishing traduzidas dirigidas a utilizadores que não falam inglês, e mensagens personalizadas que fazem referência à atividade real de um alvo, como uma compra recente de NFT ou uma participação específica em token retirada de dados públicos de blockchain.
Por que o phishing ainda funciona em utilizadores experientes
É tentador presumir que o phishing só apanha principiantes, mas não é isso que os dados mostram. Traders sofisticados já perderam somas de seis e sete dígitos numa única aprovação clicada por engano, muitas vezes porque a pressão de um lançamento de token ao vivo ou de uma janela de airdrop por tempo limitado leva as pessoas a agir antes de ler com atenção. Os burlões fabricam deliberadamente urgência, um temporizador de contagem decrescente, uma alegação de que só as primeiras mil carteiras se qualificam, um aviso de que a sua conta será suspensa dentro de 24 horas, porque a urgência faz curto-circuito à cautela que de outra forma detetaria um nome de domínio desconhecido ou um pedido de permissão invulgar.
O apoio ao cliente falso é uma variante particularmente eficaz deste padrão, já que explora um momento em que a vítima já está ansiosa com os seus fundos e está ativamente à procura de ajuda. Essa abordagem é suficientemente comum para merecer a sua própria explicação, abordada no nosso artigo sobre burlas de apoio ao cliente falso.
Como o phishing se tornou um negócio industrializado
Uma parte significativa da razão pela qual o volume de phishing se manteve elevado, mesmo com a queda das perdas individuais, é que gerir uma campanha de phishing já não exige grande competência técnica. Os chamados kits de phishing e kits de drenagem de carteira são vendidos ou alugados em fóruns clandestinos como pacotes prontos a usar, completos com modelos de sites clonados, contratos inteligentes pré-escritos concebidos para pedir aprovações o mais amplas possível, e painéis que permitem a um comprador acompanhar quantas carteiras se ligaram e quanto foi drenado. Alguns destes kits funcionam num modelo de afiliação, em que o programador original do kit fica com uma parte, muitas vezes entre 10 e 20 por cento, de tudo o que um cliente rouba usando a ferramenta, semelhante em estrutura a um negócio legítimo de software como serviço.
- Sites clonados pré-construídos para exchanges e carteiras populares que só exigem que o comprador insira um endereço de carteira para receber os fundos roubados
- Contratos inteligentes drenadores concebidos para pedir, por defeito, a aprovação de gasto mais ampla possível, maximizando o que pode ser retirado a partir de uma única assinatura
- Bots automatizados no Telegram que alertam o operador no momento em que uma nova carteira se liga, para que a drenagem sensível ao tempo possa acontecer rapidamente
- Canais ao estilo de apoio ao cliente dentro do próprio mercado criminoso, onde os compradores de kits podem obter ajuda a configurar as suas páginas de burla
Esta industrialização explica um padrão que de outra forma parece confuso: por que as páginas de phishing que visam as mesmas marcas de carteiras continuam a reaparecer poucos dias depois de serem retiradas. O comprador de um kit não construiu a página de raiz e não precisa de conhecimento técnico profundo para a relançar num novo domínio depois de o antigo ser colocado em lista negra.
Formas práticas de reduzir a sua exposição
- Marque como favoritos os URL reais das exchanges e carteiras que usa, e nunca navegue até eles através de um resultado de motor de pesquisa ou de um link numa mensagem
- Trate cada pedido de ligação de carteira como uma decisão que merece uma pausa, especialmente qualquer coisa que envolva uma aprovação em vez de uma simples transferência
- Use uma interface de carteira ou extensão de navegador que descodifique e mostre o que uma transação realmente faz antes de a assinar
- Reveja e revogue periodicamente aprovações de token antigas usando uma ferramenta de revogação de boa reputação, já que permissões esquecidas são um ponto de entrada comum
- Trate mensagens diretas não solicitadas de contas de apoio como um sinal de alerta por defeito, já que equipas de apoio legítimas geralmente não iniciam contacto
- Use uma carteira de hardware para quaisquer participações além do que precisa para negociação ativa, já que um dispositivo de hardware obriga a um passo de confirmação física que um atacante remoto não consegue replicar
- Verifique os detalhes do certificado e a ortografia exata de um domínio, carácter a carácter, antes de introduzir quaisquer credenciais, especialmente quando chegou à página através de um link em vez de o escrever você mesmo
Uma verificação rápida antes de ligar uma carteira
Antes de ligar uma carteira a qualquer site, vale a pena percorrer uma pequena lista de verificação mental: chegou a esta página escrevendo o endereço você mesmo ou através de um favorito, em vez de um link? O domínio corresponde exatamente ao oficial, sem carateres extra ou letras substituídas? Está a ser aplicada alguma urgência, uma contagem decrescente, uma alegação de disponibilidade limitada, um aviso de que o tempo está a esgotar-se? Se aparecer um pedido de assinatura, a interface da sua carteira mostra uma descrição em linguagem simples do que faz, e essa descrição corresponde ao que esperava que acontecesse? Qualquer uma destas verificações a falhar é motivo para parar e verificar de forma independente antes de continuar.
Se já aprovou uma transação de que se arrepende, o nosso guia sobre revogação de aprovações de token explica como verificar e anular permissões permanentes antes que possam ser usadas contra si.
Se acha que foi vítima de phishing
A velocidade importa. Se suspeitar que uma carteira foi comprometida através de um link de phishing, mova imediatamente quaisquer fundos restantes para uma nova carteira com uma frase semente recém-gerada, em vez de tentar limpar a antiga. Não interaja mais com o site ou contrato envolvido, e documente cada hash de transação, carimbo temporal, e mensagem que recebeu, já que este registo é aquilo de que qualquer investigação posterior ou queixa junto de uma exchange irá depender. Empresas como a Coin Trace trabalham com vítimas para rastrear para onde foram os fundos roubados depois de um incidente de phishing e para preparar a documentação que as exchanges e as forças da lei normalmente exigem, embora nenhum investigador legítimo possa prometer que os fundos serão recuperados.
Perguntas frequentes
Sim. Um site falso de airdrop ou de mint pode pedir-lhe para aprovar uma permissão de contrato inteligente em vez de pedir diretamente a sua frase semente. Assim que assina essa aprovação, o atacante pode mover tokens para fora da sua carteira sem alguma vez conhecer a sua frase de recuperação, por vezes muito depois de ter visitado o site original.
Verifique a ortografia exata do domínio, carácter a carácter, já que os clones muitas vezes usam carateres semelhantes ou palavras extra. Confirme o site através de uma conta oficial de redes sociais ou de um favorito em vez de um resultado de pesquisa ou de um link, e desconfie de qualquer site que o pressione a ligar a sua carteira rapidamente.
Os atacantes automatizaram grande parte do processo, tornando barato executar um grande número de campanhas mais pequenas em vez de algumas grandes. Os dados reportados mostram que as perdas por incidente têm diminuído, mas o número total de incidentes mantém-se elevado, o que sugere uma segmentação ampla e de baixo custo, e não um declínio da ameaça subjacente.
Nenhuma transação numa blockchain pública pode ser revertida depois de confirmada. O que é possível é rastrear para onde os fundos se moveram depois, o que por vezes pode levar ao congelamento de uma conta numa exchange se os fundos chegarem a uma conta sujeita a verificação de identidade.
Fontes e leituras adicionais
- Wallet Drainer Phishing Losses Fall to $84M in 2025, Down 83% · Cryptonews
- Scam Sniffer 2025: Crypto Phishing Losses Fall 83% to $84 Million · Scam Sniffer
- Cryptocurrency and AI Scams Bilk Americans of Billions · Federal Bureau of Investigation