Wallet Drainer: como reconhecer e responder ao roubo de aprovações

Um wallet drainer é uma ferramenta ou script de golpe projetado para mover criptoativos depois que um usuário assina uma transação maliciosa, conecta-se a um site falso ou concede uma aprovação de token insegura. O risco é comum em campanhas de phishing porque a vítima pode nem chegar a revelar uma seed phrase; a perda pode vir de uma assinatura que dá a um invasor permissão para gastar tokens ou NFTs.

Este guia se concentra na intenção de busca prática por trás do termo: como identificar o risco, como as aprovações diferem de transferências diretas e quais verificações fazer se você acha que assinou algo inseguro. Ele não é uma garantia de que os fundos possam ser recuperados e não constitui aconselhamento jurídico ou financeiro.

Um drainer geralmente fica por trás de uma página de phishing que imita um airdrop, mint, resgate de tokens, login de exchange, portal de suporte ou ferramenta de portfólio. A página pede que o usuário conecte uma carteira e aprove uma solicitação. A solicitação pode parecer rotineira, especialmente se o usuário estiver com pressa ou usando uma carteira móvel com detalhes de transação limitados.

Nem toda conexão de carteira é perigosa. Consultar um saldo ou conectar-se a uma aplicação legítima pode ser normal. O perigo aparece quando um site solicita permissão de gasto, uma aprovação ampla de operador, uma assinatura confusa ou uma transação que não corresponde à ação que você esperava.

A proteção mais forte é desacelerar antes de aprovar qualquer coisa. Muitas campanhas dependem da urgência: uma janela limitada de airdrop, um falso prazo de migração de token, um suposto congelamento de conta ou uma mensagem direta de alguém que afirma ser do suporte.

• Uma página de resgate promovida principalmente por respostas, DMs, grupos do Telegram ou publicações com aparência de patrocinadas, em vez de um domínio oficial do projeto.
• Uma solicitação da carteira pedindo aprovação ampla quando você esperava apenas visualizar informações.
• Um domínio que difere por um caractere do nome real do projeto.
• Um “agente de suporte” pedindo que você conecte sua carteira a um portal de recuperação ou validação.
• Pressão para agir antes de verificar o site oficial do projeto, a página de status ou os canais sociais verificados.
• Uma simulação de transação que mostra movimentação inesperada de ativos, se sua carteira ou ferramenta de segurança oferecer simulações.

As orientações de segurança da MetaMask, os recursos educacionais da Revoke.cash, o verificador de aprovações da Etherscan e pesquisas de segurança de grupos como a Scam Sniffer são bons pontos de partida para aprender como os riscos de phishing e aprovação aparecem na prática.

Aprovações são fáceis de interpretar mal porque nem sempre movem fundos imediatamente. Na Ethereum e em muitas redes compatíveis com EVM, um usuário pode conceder a um contrato permissão para gastar um token até um valor definido. Se o spender for malicioso, estiver comprometido ou não for o contrato que o usuário acreditava ser, a permissão pode se tornar um caminho para roubo.

Algumas aprovações são limitadas e necessárias para o uso normal de DeFi. Outras são amplas, antigas ou conectadas a sites que o usuário já não reconhece. O risco é maior quando as aprovações são ilimitadas, antigas ou concedidas após visitar um link suspeito.

Um hábito útil é revisar aprovações periodicamente, especialmente depois de usar novos aplicativos descentralizados, páginas de mint, bridges ou sites de resgate de tokens. Ferramentas como o verificador de aprovações de token da Etherscan e a Revoke.cash podem ajudar usuários a inspecionar e revogar permissões em redes compatíveis. Use os URLs oficiais diretamente, não links enviados por desconhecidos.

Se você acha que interagiu com um site malicioso, concentre-se em preservar os ativos restantes e as evidências. Não envie mais fundos para “desbloquear”, “validar” ou “recuperar” nada. Exigências de taxas de recuperação são um padrão de golpe separado.

Desconecte a carteira do site suspeito nas configurações da sua carteira, se a opção estiver disponível.
2. Revise aprovações de tokens e NFTs usando um verificador confiável para a rede relevante.
3. Revogue aprovações que você não reconhece ou de que não precisa mais, entendendo que a própria revogação exige uma transação na rede e uma taxa de gas.
4. Mova os ativos restantes para uma carteira nova se você acredita que a carteira atual pode continuar exposta por aprovações ou hábitos inseguros.
5. Salve evidências: hashes de transação, endereços de carteira, domínios, capturas de tela, identificadores de chat, e-mails e horários.
6. Denuncie a página de phishing ao provedor da carteira, a ferramentas de navegação segura do navegador, à equipe do projeto, ao suporte da exchange se uma conta de exchange estiver envolvida e aos canais relevantes de autoridades policiais ou proteção ao consumidor.

Se sua seed phrase ou chave privada foi inserida em algum lugar, trate a carteira como comprometida. Revogar aprovações não é suficiente nesse caso. Uma seed phrase concede controle total, e o caminho mais seguro é mover os ativos restantes para uma nova carteira gerada em um dispositivo limpo.

Golpistas costumam mirar novamente nas vítimas. Uma pessoa que publica sobre um roubo pode receber mensagens de “especialistas em recuperação”, investigadores falsos ou equipes de suporte personificadas. Tenha cuidado com o que você divulga publicamente.

Um hash de transação e um endereço público de carteira podem ser úteis para denúncia e análise, mas ainda assim devem ser compartilhados com cuidado. Se o caso envolver uma grande perda, roubo de identidade, extorsão ou contas em exchanges, considere canais formais de denúncia e aconselhamento profissional qualificado.

Dados públicos de blockchain podem mostrar movimentações, aprovações, contratos e endereços de carteira, mas não provam automaticamente quem controla um endereço ou se o operador de um site é a mesma pessoa que controla uma carteira on-chain. Evite acusações sem respaldo baseadas apenas em capturas de tela ou publicações sociais.

• Digite manualmente o domínio oficial do projeto ou use um link salvo nos favoritos.
• Compare qualquer página de resgate com a documentação e os anúncios oficiais do projeto.
• Inspecione aprovações na chain específica em que você interagiu.
• Salve hashes de transação antes de trocar de dispositivo ou limpar os dados do navegador.
• Trate ofertas de recuperação garantida, taxas de recuperação antecipadas e solicitações de seed phrase como sinais de alto risco.