O que é um wallet drainer? Como identificar e limitar o risco de aprovações

Um wallet drainer é um software malicioso ou um fluxo de transação malicioso projetado para mover criptoativos para fora da carteira de um usuário depois que ele assina algo que não entende completamente. O ataque pode parecer uma mint, um resgate de tokens, um login falso em uma exchange, um verificador de portfólio, um formulário de suporte ou uma página de airdrop. O ponto em comum é simples: a vítima é levada a conectar uma carteira e aprovar uma transação ou assinatura que dá ao invasor uma forma de mover ativos.

Isso não é o mesmo que alguém “hackear a blockchain”. Em muitos casos, a transação é válida on-chain porque o dono da carteira a assinou. Isso torna prevenção, revisão cuidadosa e captura rápida de evidências mais úteis do que promessas de recuperação garantida.

Um drainer tenta transformar a confiança do usuário em permissões na carteira. Dependendo do ativo e da rede, o fluxo malicioso pode solicitar uma aprovação de token, uma assinatura do tipo permit, uma transferência direta ou uma interação com um contrato que a vítima não verificou.

As aprovações de tokens são especialmente importantes para ERC-20 e padrões de token semelhantes. Um aplicativo descentralizado normal pode precisar de permissão para gastar uma quantidade limitada de tokens em uma swap ou depósito. Um site malicioso pode pedir uma autorização ampla ou ilimitada, dando a um contrato permissão para transferir tokens posteriormente. As páginas de suporte da MetaMask explicam aprovações de tokens como permissões que permitem que um contrato inteligente acesse os tokens de um usuário, e a Etherscan oferece um verificador de aprovações de tokens para endereços Ethereum.

A parte perigosa é o timing. A vítima pode assinar a aprovação, fechar o site falso e presumir que nada aconteceu. A perda pode ocorrer mais tarde, quando o contrato ou operador aprovado usa essa permissão.

Drainers frequentemente dependem de engenharia social antes que qualquer ação on-chain aconteça. A transação técnica importa, mas a preparação normalmente ocorre por meio de uma página com aparência familiar ou de uma mensagem urgente.

Nenhum desses sinais prova, por si só, que uma página é maliciosa. O risco aumenta quando urgência, conexão de carteira, permissões pouco claras e domínios desconhecidos aparecem juntos.

Um wallet drainer nem sempre precisa de uma seed phrase ou chave privada. Essa distinção é importante.

Se uma vítima entrega uma seed phrase, a própria carteira fica comprometida. O invasor pode importar a carteira e controlar os ativos diretamente. Revogar aprovações não é suficiente, porque o segredo que controla a carteira foi exposto.

Se a vítima assinou uma aprovação ruim, mas não revelou a seed phrase ou a chave privada, a carteira ainda pode estar insegura para alguns tokens, mas o problema é diferente. O usuário deve revisar e revogar autorizações suspeitas sempre que possível e, depois, considerar mover os ativos restantes para uma nova carteira. Taxas de gas e regras específicas de cada rede se aplicam, portanto os passos exatos dependem da rede e dos ativos envolvidos.

As orientações da MetaMask sobre revogação de autorizações de tokens observam que permissões podem ser revisadas e revogadas por meio de ferramentas como exploradores de blockchain e serviços de gerenciamento de autorizações. Para Ethereum, o verificador de aprovações de tokens da Etherscan é um ponto de partida comumente usado. A Revoke.cash também mantém material educativo explicando como as aprovações de tokens funcionam nas redes compatíveis.

As interfaces de carteira melhoraram, mas uma solicitação de assinatura ainda pode ser confusa. Um processo de revisão mais seguro se concentra na origem, no propósito e no escopo da transação.

Verifique o domínio primeiro. Muitas campanhas de drenagem usam domínios clonados com pequenas alterações de grafia, hífens extras, domínios de nível superior incomuns ou subdomínios falsos de “claim”. Não confie apenas em um logotipo ou no design do site.

Verifique a ação solicitada. Uma swap de tokens, uma listagem de NFT, um depósito de staking e uma assinatura de mensagem são ações diferentes. Se a tela da carteira não corresponder ao que o site afirma que você está fazendo, pare.

Verifique o valor da autorização. Aprovações ilimitadas são comuns em DeFi, mas ampliam o dano se o contrato aprovado for malicioso ou for comprometido posteriormente. Quando uma carteira ou dapp permite uma autorização personalizada, um valor menor pode reduzir a exposição.

Verifique o endereço do contrato. Exploradores podem mostrar se um contrato é verificado, recém-criado ou associado a atividade conhecida. Isso não é garantia de segurança; contratos maliciosos podem parecer bem-acabados, e contratos legítimos podem ser complexos. Trate os dados do explorador como evidência, não como veredito final.

Se você acredita que assinou algo inseguro, a rapidez importa, mas o pânico pode piorar o dano. Evite compartilhar sua seed phrase com qualquer pessoa oferecendo ajuda de “recuperação”. Uma carteira, exchange ou investigador legítimo não deve precisar da sua frase de recuperação.

Comece salvando evidências: hash da transação, endereço da carteira, URL suspeita, capturas de tela, identificadores de chat e horários. Depois, desconecte a carteira do site suspeito dentro da interface da carteira. A desconexão por si só não revoga aprovações de tokens, mas reduz o acesso contínuo do site.

Em seguida, revise as autorizações de tokens na rede relevante. Para Ethereum, o verificador de aprovações de tokens da Etherscan pode mostrar aprovações vinculadas a um endereço. Se aparecerem aprovações suspeitas, revogá-las exige uma transação on-chain e gas. Em outras redes, use o explorador de blocos apropriado ou uma ferramenta de autorizações respeitável que ofereça suporte a essa rede.

Se ativos valiosos permanecerem na carteira, considere transferi-los para uma carteira recém-criada cuja seed phrase nunca tenha sido exposta. Não transfira tokens suspeitos nem interaja com NFTs desconhecidos apenas porque eles apareceram na carteira; alguns são projetados para atrair usuários para outra transação maliciosa.

Uma carteira drenada não prova automaticamente que um site, projeto ou pessoa específica foi responsável. Registros on-chain podem mostrar transações e aprovações, mas a atribuição exige evidências cuidadosas. Acusações de golpe devem se basear em fontes fortes, como avisos oficiais, comunicados de autoridades policiais, pesquisas de segurança ou links de infraestrutura verificados.

A recuperação também é incerta. Transações em blockchain geralmente são irreversíveis, e qualquer pessoa que prometa retorno garantido de fundos deve ser tratada como um risco separado. Algumas vítimas são alvo novamente de falsos agentes de recuperação que pedem taxas antecipadas, acesso remoto ou seed phrases.

Salve nos favoritos os sites oficiais que você usa com frequência, incluindo carteiras, exchanges e exploradores. Mantenha uma carteira separada, de baixo valor, para novas mints, airdrops e aplicativos experimentais. Revise aprovações ativas depois de usar serviços DeFi desconhecidos, não apenas após uma suspeita de incidente. Se uma perda já aconteceu, preserve evidências antes de excluir mensagens ou fechar abas do navegador e, então, denuncie pelo canal relevante da exchange, provedor de carteira, canal de abuso do explorador de blocos ou rota local de autoridades policiais, quando disponível.