Um token não fungível, geralmente abreviado como NFT, é um registo de blockchain que representa a propriedade de um item digital específico ou, por vezes, físico. A tecnologia em si é neutra, mas o mercado construído à sua volta tem atraído uma quantidade desproporcionada de fraude, em parte porque criar um novo token é rápido, barato e não exige qualquer verificação de que o criador efetivamente possui a obra de arte, marca ou conteúdo a ser tokenizado. Um grande mercado afirmou publicamente que mais de 80 por cento dos itens criados através da sua ferramenta gratuita de criação eram falsos, plagiados ou spam, o que dá uma ideia de quanta da atividade visível neste espaço não é o que aparenta ser.
Rug Pulls
Um rug pull é um projeto que angaria dinheiro através de uma criação ou pré venda, constrói uma comunidade com aparência ativa em torno de um roteiro de funcionalidades futuras, e depois desaparece assim que reúne fundos suficientes. Alguns rug pulls são um simples abandono, a equipa deixa de responder e o roteiro prometido nunca se concretiza. Outros estão embutidos no próprio contrato inteligente, com funções ocultas que permitem aos programadores drenar a tesouraria de um projeto ou desativar por completo a negociação assim que decidem sair.
Sinais de Alerta de um Rug Pull
- Uma equipa anónima sem historial verificável em qualquer projeto anterior
- Um roteiro carregado de promessas futuras e pobre em qualquer coisa já entregue
- Preços agressivos de pré venda ou criação, concebidos para maximizar os fundos recolhidos antes do lançamento
- Nenhuma auditoria independente do contrato inteligente subjacente
- Silêncio súbito nas redes sociais ou eliminação de contas depois de uma criação bem sucedida
Uma Ação Judicial Documentada por Rug Pull
Em março de 2022, procuradores federais no Distrito Sul de Nova Iorque acusaram dois indivíduos relativamente a um projeto de NFT chamado Frosties, acusando-os de gerir um rug pull que angariou aproximadamente 1,1 milhões de dólares através de uma pré venda em janeiro de 2022. Segundo o Departamento de Justiça, pouco depois de a pré venda fechar, os operadores moveram os fundos angariados através de uma série de carteiras de criptomoedas separadas, eliminaram o website do projeto e desapareceram das redes sociais, cortando o acesso à comunidade que acabara de os financiar. Ambos os arguidos foram acusados de conspiração para cometer fraude eletrónica e conspiração para branqueamento de capitais. Os investigadores notaram que a dupla já preparava a pré venda de um segundo projeto de NFT no momento em que as acusações foram apresentadas, ilustrando com que rapidez um operador pode passar de um rug pull para o seguinte assim que o primeiro está concluído. O caso é um dos exemplos mais claros de como o padrão descrito acima se desenrola na prática, e de como foi processado quando os investigadores conseguiram rastrear os fundos.
Coleções Falsas e Contrafeitas
Como criar um token não exige verificação de propriedade, os burlões tokenizam rotineiramente arte, fotografia ou coleções inteiras que pertencem a outra pessoa, e depois listam o token contrafeito para venda como se fosse o item genuíno e original. Compradores que não verificam o estado de verificação de uma coleção nem a comparam com os próprios canais do criador original podem acabar por pagar dinheiro real por um token sem qualquer ligação à obra que afirma representar.
Wash Trading
O wash trading envolve um operador a controlar secretamente múltiplas carteiras e a vender repetidamente um token entre elas. Isto fabrica um historial de negociação inflacionado e uma aparência de procura real, o que pode convencer um comprador externo de que uma coleção é mais popular e valiosa do que realmente é. Esta tática é difícil de detetar apenas a partir de uma listagem no mercado, já que as transações são genuinamente registadas na blockchain, simplesmente não refletem qualquer comprador real e independente.
Phishing e Links de Drenagem de Carteira
Talvez a categoria mais financeiramente prejudicial envolva websites falsos, mensagens diretas ou contas de redes sociais comprometidas que enganam um utilizador para ligar a sua carteira a um contrato malicioso ou aprovar uma transação que concede uma permissão ampla de gasto sobre o conteúdo da carteira. Uma única transação maliciosa aprovada pode ser suficiente para drenar uma carteira inteira, não apenas o NFT que supostamente estava a ser reclamado ou comprado. Estes links são frequentemente promovidos através de contas pirateadas em plataformas sociais ou através de ofertas urgentes por tempo limitado concebidas para contornar uma revisão cuidadosa. Os mecanismos sobrepõem-se de perto aos dos ataques de aprovação maliciosa de tokens de forma mais geral, já que o phishing de NFT é simplesmente uma via de entrega comum para essa técnica subjacente.
Nunca ligue a sua carteira a um site para o qual foi direcionado através de uma mensagem não solicitada, e verifique sempre um link de criação através do canal oficial de um projeto, e não através de um link enviado diretamente a si.
Sites de Mercado Clonados
Para além de coleções individuais falsas, os burlões por vezes clonam por completo o aspeto de um mercado de NFT conhecido num domínio semelhante, copiando a sua disposição, listagens e até imagens reais de coleções retiradas do site genuíno. Um visitante que chega através de um anúncio de pesquisa ou de um link partilhado, em vez de um marcador, pode navegar naquilo que parece ser um mercado autêntico, selecionar um NFT real e desejável, e concluir uma compra que envia fundos diretamente ao burlão em vez do verdadeiro proprietário, sem que qualquer NFT seja transferido para o comprador. Como as listagens subjacentes são copiadas de um mercado real, os preços e imagens parecem inteiramente plausíveis, o que é o que torna esta versão da burla eficaz contra compradores que normalmente reconheceriam uma listagem obviamente falsa.
A defesa aqui é a mesma disciplina que protege contra exchanges falsas de forma mais geral, aceda a um mercado apenas digitando o seu endereço diretamente ou usando um marcador guardado, e verifique o domínio com cuidado antes de ligar uma carteira ou introduzir dados de pagamento, já que uma interface clonada pode ser visualmente indistinguível da real.
Sorteios Falsos e Personificação
Os burlões fazem-se frequentemente passar pelo fundador ou pela conta oficial de um projeto legítimo, anunciando um sorteio surpresa ou airdrop que exige ligar uma carteira ou enviar uma pequena quantia de criptomoeda para receber uma recompensa maior em troca. Nenhum sorteio legítimo exige um pagamento ou ligação de carteira para reclamar uma recompensa que é genuinamente gratuita.
Verificar uma Criação Antes de Ligar uma Carteira
Confirme o Link Através de um Canal Oficial
Antes de ligar uma carteira a qualquer página de criação, navegue até ela apenas através de um link publicado no website oficial verificado do projeto ou na conta social verificada, idealmente uma a que chegue digitando o endereço você mesmo, em vez de clicar num link enviado numa mensagem direta ou num comentário. Os burlões publicam rotineiramente links de criação falsos nos comentários do próprio anúncio de um projeto legítimo, sincronizados para aparecer durante a euforia de um lançamento real, contando com que as pessoas cliquem no primeiro link que veem em vez de verificar se ele realmente veio do projeto.
Leia a Transação Antes de a Aprovar
Quando uma carteira pede aprovação, leia o que está de facto a ser pedido em vez de clicar automaticamente. Uma transação de criação genuína normalmente pede uma ação específica e limitada, como pagar um preço fixo de criação por um número definido de tokens. Um pedido que exige aprovação ampla e ilimitada sobre uma coleção inteira de tokens ou NFTs na sua carteira não é um pedido normal de criação, e aprová-lo pode expor muito mais do que o único item que pretendia adquirir.
Use uma Carteira Separada com Saldo Reduzido para Novas Criações
Muitos colecionadores experientes mantêm uma carteira separada com apenas um pequeno montante de fundos, especificamente para interagir com páginas de criação novas ou não verificadas, em vez de ligar a sua carteira principal onde estão as posses de maior valor. Isto limita os danos que um contrato malicioso pode causar, mesmo que uma criação se revele fraudulenta, já que há pouco de valor nessa carteira para um drenador alcançar.
- Aceda a páginas de criação apenas através do website oficial verificado ou da conta social de um projeto, e não através de um link de um comentário ou mensagem direta
- Leia exatamente o que um pedido de aprovação da carteira está a solicitar antes de confirmar, e rejeite aprovações de gasto amplas ou ilimitadas
- Use uma carteira separada com um saldo pequeno para interagir com criações novas ou não verificadas
- Seja cético em relação a um link de criação publicado nos comentários do próprio anúncio de um projeto real, já que este é um local comum para links falsos
- Trate qualquer temporizador de contagem decrescente ou alegação de oferta limitada como uma tática de pressão, e não como uma razão para saltar a verificação
Como Se Proteger enquanto Comprador
Verifique uma coleção através do próprio website oficial e contas sociais do projeto, em vez de confiar num resultado de pesquisa ou num link recebido diretamente, verifique se a coleção tem um selo de verificação no mercado, e investigue o historial da equipa antes de participar numa criação. Ignore táticas de urgência como temporizadores de contagem decrescente, já que existem especificamente para desencorajar o tipo de verificação cuidadosa que de outra forma apanharia a maioria destas burlas.
Se já ligou uma carteira a um site suspeito ou aprovou uma transação de que agora se arrepende, revogue essa aprovação o mais rapidamente possível usando um verificador de aprovações de token de boa reputação, já que uma aprovação não revogada pode ser usada para drenar ativos adicionais da carteira em qualquer momento posterior, e não apenas no momento em que foi concedida. O nosso guia sobre como revogar uma aprovação de token percorre este processo para as carteiras e blockchains mais comuns, e vale a pena fazê-lo mesmo que nada pareça ter sido retirado ainda, já que uma aprovação maliciosa dormente pode ser exercida a qualquer momento no futuro.
Os criadores que listam o seu próprio trabalho estão expostos a um risco relacionado mas distinto, o de ver a sua arte ou marca tokenizada e vendida por outra pessoa sem autorização. Pesquisar periodicamente os mercados pelo seu próprio nome, marca ou obra distintiva é um hábito razoável para qualquer pessoa que publique conteúdo criativo ou de marca publicamente, já que as listagens contrafeitas são frequentemente reportadas e removidas assim que sinalizadas diretamente ao mercado, mas só se alguém notar que existem.
Perguntas frequentes
Muito comum segundo algumas medidas. Um grande mercado afirmou publicamente que mais de 80 por cento dos itens criados através da sua ferramenta gratuita de criação eram falsos, plagiados ou spam, e as perdas relacionadas com fraude de NFT foram estimadas em mais de 100 milhões de dólares num único ano recente, segundo dados de queixas de consumidores.
Um rug pull é um projeto de NFT ou cripto que angaria fundos através de uma criação ou pré venda, constrói uma comunidade em torno de funcionalidades futuras prometidas, e depois abandona o projeto ou drena os seus fundos assim que reúne dinheiro suficiente. Alguns rug pulls envolvem funções ocultas embutidas diretamente no contrato inteligente para permitir esta saída.
Mercados de boa reputação e bem estabelecidos são geralmente seguros para ligar uma carteira, para navegação e compra normais. O risco vem de ligar a sites desconhecidos, alcançados através de links não solicitados, já que um site malicioso pode pedir uma aprovação de gasto que vai muito além do único NFT com o qual pretendia interagir.
Verifique se existe um selo de verificação em mercados estabelecidos, confirme que a coleção está ligada a partir do website oficial ou das contas sociais verificadas do criador, e pesquise o nome do projeto junto com termos como burla ou rug pull antes de comprar, particularmente para qualquer coisa promovida através de uma mensagem não solicitada.
Sim. Em março de 2022, procuradores federais acusaram dois indivíduos relativamente ao projeto de NFT Frosties, acusando-os de angariar aproximadamente 1,1 milhões de dólares numa pré venda e depois mover os fundos através de carteiras separadas e desaparecer, um rug pull clássico. Ambos foram acusados de conspiração para cometer fraude eletrónica e branqueamento de capitais, mostrando que estes esquemas podem ser processados judicialmente quando os fundos são rastreados e identificados a tempo.
Fontes e leituras adicionais
- More Than 80% of NFTs Created for Free on OpenSea Are Fraud or Spam, Company Says · Vice
- 9 common NFT scams and how to avoid them · Norton
- What are some common web3 scams? · OpenSea Help Center
- Two Individuals Charged In Non-Fungible Token ('NFT') Fraud And Money Laundering Scheme · U.S. Attorney's Office, Southern District of New York