Assinaturas e endereços
Aula 14 de 16 do curso “Cibersegurança do zero”. Grátis, com animações e teste.
Envenenamento de endereço
Endereço de carteira é longo, então só conferimos o começo e o fim. Golpistas aproveitam: criam um endereço com os mesmos primeiros e últimos caracteres e mandam dele uma transferência vazia. Ela entra no seu histórico, e na próxima vez você copia esse em vez do real. Em maio de 2024, assim saíram numa transferência 1.155 WBTC, cerca de US$ 68 milhões. Esse dono teve sorte e recuperou depois, mas normalmente o dinheiro não volta.
Assinatura não é “só uma assinatura”
A carteira não pede só para confirmar transferências. Uma permissão dá a um contrato o direito de levar seu token depois, às vezes sem limite. Uma assinatura permit faz o mesmo, mas parece um inocente “assine esta mensagem” e nem cobra taxa. E desde a atualização do Ethereum de maio de 2025 existe uma assinatura que entrega sua conta a um código de fora. Golpistas já colocam “varredores” que levam tudo que chega ao endereço. Sites drainer existem justamente para arrancar essas assinaturas.
Até profissionais assinam no escuro
Em 21 de fevereiro de 2025 a corretora Bybit perdeu US$ 1,5 bilhão. Os invasores infectaram o computador de um dev da Safe{Wallet}, serviço que a Bybit usava para assinar transferências. A equipe viu no site uma transferência normal e assinou. Na verdade a assinatura entregou o controle da carteira. A lição: se a carteira mostra código ilegível em vez de um claro “enviar X para Y”, é assinatura às cegas. Não se assina.
Como não cair
Copie o endereço dos seus contatos ou da tela de quem recebe, não do histórico. Antes de um valor grande, mande uma transferência pequena de teste e peça confirmação. Uma vez por mês abra o revoke.cash ou parecido e revogue permissões desconhecidas. Para projetos novos, airdrops e memecoins, use outra carteira com pouco dinheiro. E não conecte a principal em nada além de lugares confiáveis.
Teste-se
- No histórico do Dan há um endereço parecido com o do amigo: mesmo início e fim. De onde pegar o endereço?
Resposta certa: Dos contatos salvos ou do amigo, com teste primeiro. Endereço parecido no histórico é armadilha. A fonte precisa ser sua. - Um site de airdrop pede “só assinar uma mensagem”, sem taxa. Qual o perigo?
Resposta certa: A assinatura pode dar direito de levar seus tokens. Assinaturas permit e de entrega da conta não têm taxa e levam tudo. - Ao assinar, a carteira mostra dados ilegíveis em vez de “enviar X”. O que fazer?
Resposta certa: Rejeitar: é assinatura às cegas. Não entende o que assina, não assine. Foi assim que até a Bybit perdeu US$ 1,5 bi.