Um drenador de carteira é uma peça de software, vendida e operada de forma muito semelhante a um produto comercial, construída para um único propósito: converter um momento de confusão do utilizador numa transferência de ativos imediata e automatizada. Ao contrário de formas mais antigas de roubo de cripto que exigiam roubar diretamente uma palavra-passe ou uma frase semente, um drenador funciona tipicamente ao levar a vítima a assinar algo por si própria, uma transação ou uma mensagem, que parece rotineira mas na verdade autoriza o atacante a tomar controlo de tokens ou de todo o saldo de uma carteira.
Estes kits não são construídos por indivíduos isolados. Grupos a operar sob nomes como Inferno Drainer, Angel Drainer, Pink Drainer, e vários outros, têm gerido aquilo que os investigadores de segurança descrevem como operações de burla como serviço, licenciando o seu software drenador a afiliados em troca de uma parte do que é roubado. Só o Inferno Drainer é estimado como responsável por mais de oitenta milhões de dólares em perdas ao longo do seu período de atividade, imitando mais de cem marcas de cripto diferentes para tornar as suas páginas de phishing convincentes.
A anatomia em três fases de um ataque de drenagem
Fase um: a isca
Todo o ataque de drenagem começa por levar o alvo a uma página maliciosa. Isto é normalmente feito através de um falso anúncio de airdrop, uma página de mint falsificada para uma coleção de NFT popular, uma página clonada de apoio de exchange ou de carteira, ou um anúncio pago colocado para aparecer acima do site real do projeto nos resultados de pesquisa. A página é frequentemente uma cópia visual exata de um site legítimo, muitas vezes construída usando código-fonte vazado ou copiado, pelo que há pouco a distingui-la visualmente da coisa real.
Fase dois: a ligação
Uma vez na página, a vítima é convidada a ligar a sua carteira, o que por si só não é perigoso e não transfere quaisquer fundos. Os kits de drenagem usam scripts concebidos para imitar bibliotecas de ligação Web3 bem conhecidas, dando à interação uma sensação de legitimidade e normalidade técnica que baixa a guarda da vítima para o que vem a seguir.
Fase três: a assinatura
Este é o momento de que todo o ataque depende. O site apresenta uma transação ou mensagem para a carteira assinar, enquadrada como reclamar uma recompensa, verificar elegibilidade, ou completar um passo de rotina. Na realidade, o pedido é ou uma transferência direta de token, uma aprovação de gasto ilimitado, ou uma mensagem de permit assinada que autoriza o contrato do drenador a mover fundos mais tarde sem qualquer ação adicional da vítima. O software de drenagem é muitas vezes construído para primeiro examinar a carteira ligada e priorizar o ativo mais valioso e mais fácil de mover, ignorando frequentemente saldos abaixo de um pequeno limiar para evitar alertar uma vítima com uma transação de teste de baixo valor.
Ligar uma carteira a um site malicioso não causa, por si só, uma perda. A perda acontece no momento em que uma transação ou assinatura é confirmada, razão pela qual ler exatamente o que um pedido da carteira está a solicitar importa mais do que evitar o site em si depois do facto.
O mecanismo técnico por trás de um contrato drenador
A maioria dos kits de drenagem modernos é construída em torno de um único contrato inteligente reutilizável, implementado pelo operador, para o qual muitos sites de phishing diferentes simplesmente apontam, em vez de cada atacante escrever código personalizado de raiz. O contrato normalmente expõe uma função que verifica os saldos de token, aprovações existentes, e participações em NFT de uma carteira ligada numa única chamada, para que a página de phishing possa decidir instantaneamente qual a única assinatura que extrairá mais valor dessa vítima específica. Como o mesmo contrato subjacente é reutilizado em milhares de domínios de phishing diferentes, os investigadores de segurança que identificam o endereço de contrato de um drenador podem por vezes assinalar todos os sites que o chamam, embora os operadores implementem regularmente novos endereços de contrato especificamente para se manterem à frente desse tipo de bloqueio.
Multicall e aprovações agrupadas
Uma única assinatura confirmada num fluxo de drenagem desencadeia frequentemente mais do que uma ação por trás dos panos. A funcionalidade multicall, uma funcionalidade legítima usada em todo o DeFi para agrupar várias operações numa única transação e poupar em taxas de rede, é reaproveitada por contratos drenadores para combinar uma aprovação, uma transferência, e por vezes uma troca para um ativo mais fácil de liquidar, tudo executado no momento em que a assinatura única da vítima é transmitida. Isto explica em parte por que uma vítima frequentemente descobre vários ativos diferentes em falta numa carteira depois do que pareceu ser uma única interação.
Um percurso realista de um ataque de drenagem
- Uma conta que se faz passar por um projeto NFT real ou um influenciador conhecido publica sobre um airdrop surpresa, completo com um temporizador de contagem decrescente, numa plataforma como o X ou o Discord, com um link para uma página de reclamação que imita de perto a identidade visual real do projeto.
- A vítima clica, chega à página de reclamação, e liga a sua carteira, uma ação que por si só não transfere nada e parece rotineira, já que imita dezenas de reclamações de airdrop legítimas que a mesma pessoa possa já ter concluído antes.
- A página examina a carteira ligada em segundo plano e identifica um saldo de stablecoin e um NFT valioso como os dois ativos de maior valor disponíveis para mover.
- Aparece um único pedido na carteira, rotulado simplesmente como Reclamar Recompensa ou Verificar Elegibilidade em vez de descrever uma transferência de token, e a vítima confirma-o sob a pressão do temporizador de contagem decrescente visível.
- Em segundos, o saldo de stablecoin e o NFT são ambos transferidos através da função multicall do drenador, e os fundos começam a mover-se através de uma série de carteiras intermediárias concebidas para dificultar o rastreamento, antes mesmo de a vítima ter atualizado a página para verificar o seu saldo.
Em que difere um drenador de carteira do phishing de conta clássico
O phishing clássico, do tipo há muito usado contra credenciais de email e bancárias, geralmente exige que a vítima entregue uma palavra-passe ou um código único, que o atacante depois usa manualmente para aceder a uma conta. Um drenador de carteira salta inteiramente esse passo intermédio. Não há palavra-passe para roubar e nenhum login separado para o atacante usar mais tarde, porque a própria assinatura confirmada da vítima é o roubo. Isto torna os ataques de drenagem mais rápidos e mais automatizados do que o phishing tradicional, mas também significa que o conselho defensivo é diferente. A higiene de palavras-passe e a monitorização de credenciais, úteis contra o phishing de conta, nada fazem para impedir um drenador, já que o proprietário da carteira é tecnicamente quem autorizou a transferência. A única defesa eficaz é escrutinar o que um pedido de assinatura realmente diz antes de o confirmar.
Por que estes ataques são difíceis de reverter depois de confirmados
As transações de blockchain liquidam-se sem qualquer autoridade central capaz de as reverter depois de confirmadas. O contrato de retaguarda de um drenador é tipicamente construído para mover fundos para um endereço de destino novo em segundos, e muitas vezes através de vários saltos logo a seguir, especificamente para dificultar qualquer tentativa de congelar ou recuperar os ativos antes de chegarem a uma exchange ou a um serviço de mistura. Para mais detalhes sobre as ferramentas usadas para obscurecer esse movimento, veja o nosso guia sobre como o phishing rouba criptomoeda.
Como as aprovações maliciosas se encaixam nos ataques de drenagem
Nem todo o ataque de drenagem esvazia uma carteira imediatamente. Uma parte significativa obtém antes uma aprovação de gasto permanente, por vezes para um montante ilimitado de um token específico, que o atacante pode exercer em qualquer momento futuro, mesmo semanas ou meses depois, sem precisar que a vítima faça mais nada. Esta é uma das razões pelas quais uma carteira pode parecer intocada durante um longo período depois de uma interação de phishing, apenas para ser drenada mais tarde quando o atacante decide agir. Os mecanismos desta tática específica são abordados em profundidade em o nosso guia sobre aprovações de token maliciosas.
Reduzir a exposição a ataques de drenagem
- Leia o conteúdo completo de qualquer pedido de assinatura da carteira antes de confirmar, não apenas a descrição de destaque que o site fornece, e tenha especial cuidado com pedidos rotulados simplesmente como uma assinatura em vez de uma transação claramente detalhada.
- Trate a urgência como um sinal de alerta. Temporizadores de contagem decrescente, janelas de reclamação limitadas, e frases como últimas horas são táticas de pressão comuns usadas para apressar uma vítima e evitar uma revisão cuidadosa.
- Use uma carteira ou extensão de navegador que assinale contratos maliciosos conhecidos e infraestrutura de drenagem, e mantenha-a atualizada, já que os operadores de drenadores mudam regularmente de domínio para se manterem à frente das listas de bloqueio.
- Mantenha uma carteira separada, com saldo baixo, para interagir com sites novos ou desconhecidos, páginas de mint, e reclamações de airdrop, em vez de ligar uma carteira principal que detém fundos significativos.
- Reveja e revogue periodicamente as aprovações de token permanentes usando uma ferramenta de verificação de aprovações de boa reputação, mesmo para sites que na altura pareciam legítimos.
O que muda depois de um ataque de drenagem já ter acontecido
Assim que um contrato drenador é executado, a relação da carteira com qualquer ativo que ainda detenha muda imediatamente, mesmo para tokens que o drenador não tocou na transação inicial. Qualquer aprovação obtida pelo contrato do drenador mas ainda não exercida permanece ativa e explorável até ser manualmente revogada, pelo que uma carteira pode ser drenada uma segunda vez a partir da mesma assinatura dias ou semanas depois do primeiro incidente, se esse passo for ignorado. Vale também a pena verificar se a mesma assinatura concedeu acesso a mais do que um padrão de token, já que alguns fluxos de drenagem pedem aprovação que cobre toda uma coleção de NFT através de uma única chamada setApprovalForAll em vez de um item específico, deixando todos os NFT dessa coleção ainda expostos na carteira mesmo que apenas uma peça tenha sido retirada inicialmente.
Quando um ataque de drenagem já teve sucesso, o caminho realista a seguir é a documentação e o rastreamento, e não a reversão. Os investigadores, incluindo empresas como a Coin Trace, conseguem por vezes seguir o movimento dos fundos drenados entre carteiras e exchanges para identificar onde se fixaram, o que ocasionalmente apoia um esforço de recuperação ou um encaminhamento às forças da lei, embora nenhum investigador legítimo possa prometer que os fundos roubados serão devolvidos num determinado caso.
Perguntas frequentes
Sim. Muitos contratos drenadores usam a funcionalidade multicall para agrupar várias transferências, aprovações, ou trocas numa única transação, pelo que uma única assinatura confirmada pode mover stablecoins, outros tokens, e NFT da mesma carteira numa única execução.
Ligar por si só não transfere fundos. A perda real ocorre quando a vítima confirma um pedido de transação ou assinatura no site, razão pela qual ler cuidadosamente cada pedido da carteira importa mais do que evitar totalmente a ligação.
Muitos kits de drenagem estão configurados para priorizar os ativos mais valiosos e mais fáceis de liquidar numa carteira, ignorando montantes abaixo de um limiar definido, já que drenar saldos triviais arrisca alertar a vítima sem aumentar significativamente o ganho do atacante.
As operações de drenagem documentadas, incluindo o Inferno Drainer e o Angel Drainer, funcionam como negócios de burla como serviço, licenciando software a afiliados que gerem as campanhas de phishing propriamente ditas em troca de uma percentagem dos fundos roubados.
Revogar aprovações existentes remove o acesso permanente já concedido, o que é importante, mas não impede que uma nova interação de phishing crie uma aprovação nova. A cautela contínua com sites novos e pedidos de assinatura continua a ser necessária.
Fontes e leituras adicionais
- Inferno Drainer Scam: Crypto Wallet Draining Malware Explained · Group-IB
- How a 'crypto drainer' tricked people into handing over $80 million · The Record
- Inferno Drainer Spoofs Over 100 Crypto Brands to Steal $80m+ · Infosecurity Magazine