HTTPS significa apenas que a conexão com aquele domínio é criptografada; não prova que ele pertença ao serviço cripto verdadeiro. Confirme o nome registrado exato, navegue por uma fonte confiável, examine alertas de certificado e salve o site confirmado nos favoritos antes de conectar a carteira.
Entenda as partes envolvidas#
Domínios parecidos usam letras trocadas, palavras extras, subdomínios enganosos e caracteres internacionais. Sites modernos de phishing conseguem certificados TLS válidos; portanto, o HTTPS é um requisito mínimo, não um selo de identidade.
Use duas referências independentes#
Confira pelo menos duas âncoras: um link oficial salvo anteriormente e um repositório verificado, listagem na loja de aplicativos ou diretório do ecossistema. Publicações em redes sociais, sozinhas, não são evidências independentes.
Verifique em uma sequência controlada#
- Leia o domínio da direita para a esquerda para encontrar o nome registrável. Em
projeto.exemplo.com.atacante.tld, quem controla éatacante.tld.
- Compare a grafia com a documentação oficial do projeto. Observe letras trocadas, hifens, extensões e caracteres visualmente semelhantes.
- Abra os detalhes do certificado se o navegador mostrar qualquer alerta. Não prossiga em conexões com erro, expiração ou identidade incompatível.
- Evite resultados patrocinados e links encurtados. Eles escondem ou destacam destinos que ainda não foram confirmados.
- Salve um favorito somente depois da verificação independente. Use-o como rota de acesso nas próximas visitas.
Armadilhas comuns#
- Confundir
projeto.exemplo.com.atacante.tldcom subdomínio oficial. O domínio registrável está no fim do hostname, não no começo. - Confiar porque o domínio tem HTTPS. Golpistas também obtêm certificados para sites que controlam.
- Ignorar um domínio parecido registrado recentemente. A idade não decide sozinha, mas uma cópia nova exige investigação adicional.
- Digitar a seed depois que o site afirma que a carteira está corrompida. Um site não precisa da frase para diagnosticar uma conexão ou transação.
Uma checagem segura não termina quando a página abre. Você precisa conseguir reproduzir a rota e confirmar o domínio sem depender do próprio site suspeito.
Confirme o resultado#
Não julgue a autenticidade por uma mensagem da interface. Use provas que possam ser conferidas depois de fechar a página.
| Ponto de controle | Evidência | Condição para parar |
|---|---|---|
| Identificar o domínio registrável | URL exata comparada à documentação | O nome da marca aparece apenas em um subdomínio estranho |
| Comparar a grafia | Captura datada com dados sensíveis ocultos | A confiança depende apenas do HTTPS |
| Examinar alertas de certificado | Detalhes do navegador e certificado | Há alerta ou domínio semelhante recém-criado sem confirmação |
Guarde URLs, protocolos oficiais ou capturas datadas quando ajudarem a documentar a verificação, mas exclua frases-semente, chaves privadas e códigos de autenticação.
Perguntas frequentes#
Um site de phishing pode ter certificado válido?
Sim. Autoridades certificadoras validam o controle do domínio, e não a legitimidade da empresa por trás dele.
O cadeado ainda aparece no navegador?
A interface varia entre navegadores, mas o estado HTTPS e os alertas continuam disponíveis nas informações do site. Não use o ícone como única checagem.
E se o domínio oficial redirecionar?
Confirme o redirecionamento na documentação oficial antes de confiar no novo destino.
Guias relacionados#
Fontes#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Aviso de risco: Ações com criptomoedas podem ser irreversíveis. Nunca compartilhe frase-semente, chave privada, senha ou código de autenticação e verifique cada domínio e solicitação da carteira de forma independente.
Padrão editorial
Este guia é educativo e baseado em fontes. Controles de segurança, regras das corretoras e exigências legais podem mudar; confirme etapas importantes em fontes oficiais.
