Phishing no mundo cripto: como funciona e como se proteger

Phishing é um golpe em que o atacante se passa por uma empresa ou pessoa de confiança para convencer você a entregar informações ou aprovar uma operação com as próprias mãos. No mundo cripto, o alvo costuma ser o login da corretora, a frase de recuperação da carteira ou uma assinatura feita por ela; se qualquer uma dessas coisas cair em mãos erradas, seus fundos podem ser esvaziados em minutos.

No banco, uma transferência errada às vezes pode ser revertida. Uma transferência confirmada na blockchain, não. Por isso a melhor defesa contra o phishing são hábitos que entram em ação antes do momento do clique.

Como o phishing funciona

Todo ataque de phishing tem três partes:

1. A isca: uma mensagem feita para você agir. "Detectamos um acesso suspeito", "seu saque está retido" ou "sua recompensa expira em 24 horas".
2. O anzol: uma página, formulário ou tela de aplicativo quase idêntica à verdadeira.
3. A colheita: a senha, o código de verificação ou a frase de recuperação que você digita, ou a assinatura que você aprova. O atacante usa tudo na hora.

Essas mensagens se apoiam em pressão psicológica. As quatro alavancas mais comuns são urgência (faça agora ou perca), medo (sua conta será encerrada), recompensa (tokens grátis, bônus) e autoridade (equipe de segurança da corretora, órgão oficial). Se uma mensagem usa duas delas ao mesmo tempo, isso já é motivo suficiente para parar e pensar.

A economia do ataque também ensina. Suponha que um e-mail seja enviado para 100.000 pessoas. Se apenas 1% clicar no link e 5% delas digitarem seus dados, 50 pessoas caem na armadilha. Como o envio custa quase nada, não importa para o atacante que a maioria não seja enganada.

As faces do phishing no mundo cripto

Os ataques chegam por canais diferentes:

• E-mail e SMS: avisos que parecem vir de uma corretora ou de um provedor de carteira. A versão por SMS às vezes é chamada de smishing.
• Anúncios em buscadores: ao pesquisar o nome de uma corretora ou carteira, o resultado pago no topo pode levar a um site falso.
• Redes sociais e grupos de mensagens: um "comunicado" é publicado na conta invadida de um projeto, ou alguém oferece "suporte" por mensagem privada.
• Domínios parecidos: endereços com uma ou duas letras trocadas, como "exemp1ocorretora.com" ou "exemplocorertora.com" no lugar de "exemplocorretora.com".
• Páginas falsas de conexão de carteira: não pedem senha, e sim que você assine uma operação com a carteira.

Este último tipo é típico do mundo cripto e especialmente traiçoeiro. Algumas assinaturas dão a um contrato inteligente permissão para gastar seus tokens. Contrato inteligente é um programa que roda sozinho na blockchain, e a permissão concedida continua valendo mesmo depois que você sai do site. Se você não entende o que a tela de assinatura está pedindo, recusar é a opção mais segura.

Perfis falsos de suporte, envenenamento de endereço e malwares que trocam um endereço copiado são parentes próximos do phishing; cada um daria um artigo próprio.

Como ler um endereço corretamente

A maioria dos sites falsos aproveita o hábito de ler domínios às pressas. Algumas regras ajudam:

• O domínio real é a parte logo antes da extensão. Em "exemplocorretora.com.verificar-acesso.net" o site na verdade é "verificar-acesso.net"; o "exemplocorretora.com" do começo é só um subdomínio.
• Atenção às letras parecidas. O par "rn" pode passar por "m" numa olhada rápida, e em muitas fontes o "I" maiúsculo não se distingue do "l" minúsculo.
• Letras de outros alfabetos podem ser usadas. O "а" cirílico parece idêntico ao "a" latino. Às vezes os navegadores exibem esses endereços num formato que começa com "xn--"; se vir um, tenha cuidado.
• O cadeado não é atestado de confiança. Ele só mostra que a conexão é criptografada, não quem é o dono do site. Sites falsos também usam conexão criptografada sem dificuldade.

O método mais seguro é verificar uma única vez as páginas das corretoras e carteiras que você usa, salvá-las como favoritos no navegador e entrar sempre por esses favoritos. Nunca clicar em links recebidos por mensagem elimina quase todo o trabalho de conferir endereços.

Hábitos que protegem você

A frase de recuperação só é digitada no próprio software ou dispositivo da carteira, ao restaurá-la. Não existe motivo legítimo para uma página da web pedir essa frase.

A autenticação em dois fatores (2FA) é uma camada importante, mas não barra todo phishing. Se a página falsa repassa em tempo real para o site verdadeiro o código que você digita, o atacante consegue abrir a sessão. Chaves de segurança físicas que verificam o domínio resistem melhor a esse tipo de repasse, porque não funcionam num domínio falso.

Separar os fundos também limita o estrago. Se a carteira de uso diário guarda apenas o necessário, uma única assinatura errada não leva todas as suas economias.

Se você caiu no golpe

Aja rápido e na ordem certa:

1. Se você compartilhou a frase de recuperação, considere aquela carteira perdida. Crie uma carteira nova e transfira para ela imediatamente o que restou.
2. Se digitou a senha da corretora, troque a senha e o 2FA, encerre todas as sessões abertas e confira a lista de endereços de saque.
3. Se aprovou uma assinatura, revogue as permissões de gasto na tela de gerenciamento de permissões da carteira.
4. Fale com a corretora apenas pelo aplicativo oficial ou pelo site salvo nos favoritos.
5. Não envie dinheiro para quem promete "recuperar suas perdas". Essas ofertas costumam ser um segundo golpe.

Resumo

• O phishing imita uma organização de confiança para obter sua senha, sua frase de recuperação ou uma assinatura.
• Urgência, medo, recompensa e autoridade são as ferramentas de pressão mais comuns.
• O domínio real é a parte logo antes da extensão; o cadeado não prova que o site é autêntico.
• Usar favoritos, nunca digitar a frase de recuperação em sites e recusar assinaturas que você não entende são os hábitos mais eficazes.
• Se cair no golpe, o primeiro passo é mover os fundos para uma carteira nova e revogar as permissões.