Envenenamento de endereço: o golpe do endereço parecido e como evitar

Como o golpe funciona

A MetaMask descreve o golpe passo a passo (MetaMask). Você faz uma transação comum, para um amigo ou para outra conta sua. Um golpista, com um software que monitora transferências de certos tokens, geralmente stablecoins, percebe o envio. Com um gerador de endereços “vanity”, ele cria um endereço muito parecido com o seu, ou às vezes com o do seu contato, e manda para você, a partir dele, uma transação de valor insignificante — normalmente uma transferência de zero tokens.

Nesse momento nada foi roubado: a própria MetaMask diz que isso, por si só, não causa dano (MetaMask). A transferência só existe para ficar no seu histórico, perto do endereço verdadeiro e quase igual a ele.

Por que funciona

Endereços são longos e difíceis de memorizar, por isso é comum copiar e colar em vez de digitar. E costumam aparecer encurtados: às vezes só os primeiros caracteres, às vezes o começo e o fim, sem o meio. Segundo a MetaMask, é assim que a maioria das pessoas reconhece um endereço, e é essa tendência que o golpe explora (MetaMask). O endereço gerado só precisa coincidir nas partes visíveis. Na próxima vez que você copiar “o endereço de sempre” do histórico, pode estar copiando o do golpista.

Como evitar

Não há como impedir que golpistas enviem transações para o seu endereço, porque as blockchains são públicas; o que importa é não copiar o endereço errado na hora de enviar. As recomendações da MetaMask (MetaMask):

• Confira o endereço de destino antes de enviar, principalmente em valores altos: os caracteres do meio, não só o começo e o fim. A ethereum.org dá a mesma regra: o endereço precisa corresponder exatamente ao do destinatário (ethereum.org).
• Evite copiar endereços do histórico de transações. Se copiar, trate o endereço com o mesmo cuidado de qualquer fonte desconhecida — inclusive o seu próprio, por exemplo ao mover fundos de uma exchange para a MetaMask.
• Salve nos contatos da carteira os endereços que você usa com frequência, depois de conferi-los, para não precisar copiar do histórico.
• Use uma carteira de hardware: a maioria exige confirmar o endereço de destino no próprio dispositivo antes de a transação seguir. A Ledger descreve essa conferência: no envio, a tela do próprio dispositivo mostra o destinatário (Ledger).

O que a carteira faz

Ao enviar, a MetaMask compara o endereço de destino com o seu histórico de transações. Se ele se parece muito com um endereço que você já usou — o começo e o fim iguais, o meio diferente —, aparece um aviso que bloqueia o envio até você conferir; se é um endereço com o qual você nunca interagiu, também há um aviso, o que não significa que ele seja malicioso (MetaMask). A MetaMask anunciou a detecção como ativa no aplicativo móvel e na extensão, em todas as redes EVM (MetaMask). Como o golpe depende sobretudo de descuido e pressa (MetaMask), o aviso só ajuda se for lido com calma.

Se você já enviou os fundos

A MetaMask é direta: transações na blockchain não podem ser alteradas depois de confirmadas, então fundos enviados ao endereço do golpista não podem ser recuperados (MetaMask). Na ethereum.org, a mesma regra: um envio no Ethereum é irreversível (ethereum.org).

O que continua nas suas mãos é o passo seguinte. Quem aparece oferecendo recuperar o dinheiro e pede a frase de recuperação ou as chaves privadas está, nas palavras da MetaMask, tentando roubar todos os seus ativos (MetaMask). Mais sobre esse padrão em wallet drainer.