Envenenamento de Endereço: Como Transações Falsas Enganam Carteiras de Cripto – Coluna do Autor CryptoRescue

O envenenamento de endereço, também chamado de “ataque de areia” ou “envenenamento de carteira”, é um golpe de baixo custo e alta precisão que explora a natureza pública das transações em blockchain. Diferentemente de um link de phishing ou de um aplicativo falso, este ataque não exige que a vítima clique em nada ou baixe malware. Ele funciona ao enviar uma transação minúscula, quase sem valor, a partir de um endereço de carteira que se assemelha muito a um com o qual a vítima já transacionou anteriormente. O objetivo é enganar a vítima para que copie esse endereço falso do histórico de transações e envie uma grande quantidade de cripto para o golpista, em vez do destinatário pretendido.

Esta coluna não é uma notícia de última hora. É uma análise baseada em fontes sobre como o envenenamento de endereço funciona, o que as evidências mostram, como os usuários podem verificar endereços antes de enviar e o que permanece incerto sobre a escala e detecção desses ataques.

O envenenamento de endereço é importante porque ataca um hábito comum dos usuários: copiar um endereço de destinatário de uma transação anterior em vez de obtê-lo novo de uma fonte confiável. Muitas pessoas reutilizam endereços, especialmente para interações frequentes com exchanges, amigos ou contratos inteligentes. O explorador de blockchain ou a interface da carteira mostra as últimas transações, e um endereço envenenado nesse histórico pode parecer idêntico à primeira vista.

O Centro de Reclamações de Crimes na Internet (IC3) do FBI emitiu um aviso público em agosto de 2022 alertando sobre golpes de “envenenamento de endereço”, observando que golpistas usam transações em blockchain para “envenenar” o histórico de transações da vítima. O comunicado do IC3 continua sendo uma das fontes oficiais mais autorizadas sobre esse padrão. A SlowMist, uma empresa de segurança blockchain, publicou análises técnicas mostrando como os atacantes geram endereços vanity que correspondem aos primeiros e últimos caracteres de um endereço real, tornando o endereço falso visualmente indistinguível do legítimo na maioria das interfaces de carteira.

Como o ataque não exige qualquer comprometimento da própria carteira, o conselho tradicional de segurança – “nunca compartilhe sua chave privada” – não o impede. A única defesa confiável é o hábito: verificar sempre o endereço completo, não apenas os primeiros e últimos quatro caracteres.

O comunicado do IC3 descreve o ataque da seguinte forma: golpistas enviam uma pequena quantidade de criptomoeda (frequentemente 0 ETH ou um token de poeira) de um endereço falso para o endereço da vítima. A vítima vê essa transação em seu histórico e, quando precisa enviar fundos para o mesmo destinatário, copia o endereço envenenado do histórico em vez do real. O FBI confirma que vítimas perderam quantias substanciais – valores que variam de vários milhares de dólares a mais de um milhão de dólares – em tais ataques.

A análise da SlowMist acrescenta detalhes técnicos: os atacantes usam algoritmos para gerar endereços que correspondem aos primeiros e últimos 4–6 caracteres de um endereço alvo. Por exemplo, um endereço legítimo como `0x1234...abcd` pode ser imitado por `0x1234...abce` (note a mudança do último caractere). A ferramenta pode gerar milhares de endereços candidatos por segundo, e o atacante então envia uma transação de poeira de cada endereço gerado que esteja sem gasto, esperando que a vítima eventualmente use um desses endereços.

A CoinDesk relatou um caso em janeiro de 2023 em que uma vítima perdeu US$ 1,2 milhão em um ataque de envenenamento de endereço. O artigo observa que o atacante usou uma transação de “poeira” de 0,0001 ETH para “semear” o histórico da carteira da vítima. Isso é consistente com o padrão descrito pelo FBI e pela SlowMist.

Source-tracked CryptoRescue article.

O golpista identifica um endereço de carteira de alto valor a partir de uma transação pública, muitas vezes de uma exchange conhecida ou de uma carteira de baleia.
2. Usando um script, o golpista gera um novo endereço de carteira que se assemelha muito aos primeiros e últimos caracteres do endereço da vítima.
3. O golpista envia uma quantidade insignificante de cripto (frequentemente 0 ETH ou um token de poeira) do novo endereço falso para o endereço da vítima. Essa transação aparece no histórico de transações da vítima.
4. Quando a vítima inicia uma transferência para o mesmo destinatário (por exemplo, depositando em uma exchange), ela pode copiar o endereço falso do histórico em vez do real.
5. Os fundos são enviados para o endereço do golpista, que muitas vezes é um endereço temporário que imediatamente encaminha os fundos para um mixer ou exchange.

O facilitador chave é que a maioria das interfaces de carteira mostra apenas os primeiros e últimos caracteres de um endereço, truncando o meio. Um usuário vendo `0x1234...abcd` em seu histórico pode não notar que o endereço envenenado é `0x1234...abce` – especialmente se não estiver verificando meticulosamente cada caractere.

Os usuários podem verificar a existência de envenenamento de endereço olhando em seu histórico de transações por quaisquer transações recebidas minúsculas ou de valor zero vindas de endereços desconhecidos. Muitas vezes, são de endereços que parecem semelhantes a endereços com os quais o usuário interagiu anteriormente. No entanto, observe que também existem transações de poeira legítimas (por exemplo, airdrops, tokens de spam), então nem toda transação pequena é uma tentativa de envenenamento.

O sinal mais confiável é uma incompatibilidade no endereço completo quando comparado ao endereço do destinatário pretendido. Se você sempre usa um endereço salvo no livro de endereços da sua carteira (não uma cópia nova do histórico), você está seguro. Se precisar copiar do histórico, compare o endereço completo caractere por caractere.

• Verifique o endereço completo caractere por caractere, não apenas os primeiros e últimos 4–6 caracteres.
• Use um endereço salvo no livro de endereços da sua carteira ou em uma lista de contatos confiável – nunca copie do histórico de transações.
• Antes de enviar uma grande quantia, envie uma pequena transação de teste e confirme que o destinatário a recebeu.
• Se você receber uma transação minúscula ou de valor zero de um endereço desconhecido, não presuma que seja um airdrop legítimo. Marque como spam ou ignore.
• Use uma carteira de hardware com uma tela que mostre o endereço completo para confirmação.
• Evite reutilizar endereços para transações frequentes; gere um novo endereço para cada depósito, se possível.
• Se você usar uma carteira multi-assinatura ou de contrato inteligente, verifique os endereços dos destinatários em um explorador de blocos antes de assinar.

Embora o FBI e empresas de segurança tenham documentado o mecanismo, vários aspectos permanecem incertos:

• O número total real de vítimas e perdas totais. Os comunicados do IC3 são baseados em reclamações, mas muitas vítimas podem não denunciar ou não perceber que foram envenenadas.
• A eficácia de alertas no nível da carteira. Algumas carteiras agora sinalizam endereços falsos, mas a adoção é desigual.
• Se o envenenamento de endereço está sendo combinado com outros ataques (por exemplo, phishing para obter o endereço da vítima em primeiro lugar, ou engenharia social para iniciar uma transação).
• O papel dos scripts automatizados de geração de endereços. A análise da SlowMist mostra que os atacantes podem gerar muitos endereços, mas o número exato de campanhas ativas de envenenamento é desconhecido.

Source-tracked CryptoRescue article.

Melhorias na interface da carteira que tornam endereços falsos mais visíveis (por exemplo, codificação por cores, opções de exibição do endereço completo).
2. Novas ferramentas de explorador de blockchain que permitem aos usuários detectar e sinalizar endereços envenenados em seu histórico de transações.
3. Ações de aplicação da lei contra redes de envenenamento de endereço, que podem fornecer mais dados sobre a escala do problema.

Se você suspeitar que foi alvo de um ataque de envenenamento de endereço, não interaja com o endereço suspeito. Em vez disso, verifique todas as transações de saída e considere usar um endereço dedicado para cada contraparte. Para mais orientações, consulte a página wiki da CryptoRescue sobre verificação de transações e nosso guia para preservar evidências após um roubo de cripto.