Um site cripto falso pode copiar uma corretora, carteira ou página de resgate real e usar um domínio muito parecido. Confirme o domínio completo por uma fonte oficial independente antes de fazer login, baixar software, conectar a carteira ou assinar qualquer solicitação. O cadeado, sozinho, não prova que o site é legítimo.
Entenda o que a página falsa quer obter#
Páginas de phishing cripto são criadas para objetivos diferentes. Algumas capturam credenciais de corretoras e códigos temporários. Outras pedem a frase-semente sob o pretexto de “sincronizar” a carteira. Um drainer Web3 pode permitir a conexão normalmente e, depois, apresentar uma aprovação ou assinatura que autoriza a movimentação de ativos.
A qualidade visual da página é uma evidência fraca. Criminosos copiam logotipos, textos, sistemas de design e até artigos da central de ajuda. As evidências confiáveis estão no domínio, no fornecedor do software, nos dados da transação e no caminho usado para chegar à página.
Leia o hostname da direita para a esquerda#
Em support.example.com, o domínio registrável é example.com; “support” é um subdomínio. Em example.com.security-check.net, o domínio controlador é security-check.net, e não example.com.
Observe:
- erros de grafia, caracteres substituídos e palavras adicionais;
- extensões genéricas ou de países que você não esperava;
- nome da marca usado como subdomínio de um site sem relação;
- encurtadores de URL que escondem o destino;
- anúncios de busca exibidos acima do resultado verdadeiro;
- caracteres internacionalizados visualmente parecidos com letras latinas.
HTTPS significa apenas que a conexão com aquele domínio é criptografada. Golpistas podem obter certificados TLS válidos para seus próprios domínios falsos. Alertas de certificado são graves, mas a ausência de alerta não representa aprovação.
Use uma rota independente para confirmar o site oficial#
Não verifique um link com informações contidas na mesma mensagem que o enviou. Abra um favorito salvo, digite um endereço já confirmado, use o aplicativo oficial ou confira o domínio em vários canais consolidados do projeto.
Ao receber um alerta de segurança de uma corretora, abra a plataforma separadamente e consulte as notificações dentro da conta. O FBI orienta quem recebe uma ligação ou mensagem urgente em nome de uma corretora a encerrar o contato e procurar a empresa pelo número ou site oficial, sem usar o link do remetente.
Pare quando o site pedir um segredo impossível#
Nenhum aplicativo descentralizado normal precisa da sua frase-semente ou chave privada bruta. Esses segredos restauram ou controlam a carteira; não são credenciais de conexão.
Outras solicitações de alto risco incluem:
- instalar software de acesso remoto para o “suporte”;
- desativar o antivírus ou ignorar alertas do navegador;
- baixar uma atualização de carteira não assinada por um serviço de compartilhamento de arquivos;
- digitar vários códigos MFA em sequência;
- fazer uma “transferência de verificação” para proteger a conta;
- assinar uma mensagem ilegível imediatamente para evitar suspensão.
A urgência faz parte do ataque. Um processo de segurança legítimo deve suportar o tempo necessário para ser confirmado de forma independente.
Analise a solicitação da carteira separadamente do site#
Um domínio verdadeiro pode ser comprometido, e uma interface falsa pode enviar uma transação tecnicamente válida. Antes de assinar, leia a solicitação da carteira e identifique rede, contrato, ativo, valor e permissão.
Rejeite solicitações inesperadas de Approve, Permit, SetApprovalForAll, mudança de propriedade ou assinaturas amplas. Use uma carteira de interação com pouco saldo em sites desconhecidos. Se a finalidade for apenas consultar um saldo, prefira um explorador de blocos que não exija conexão da carteira.
O que fazer após visitar uma página suspeita de phishing#
Apenas carregar uma página normalmente não transfere ativos, mas downloads, credenciais, assinaturas e aprovações criam exposições diferentes.
- Feche a página e não volte pelo link suspeito.
- Se digitou credenciais, proteja o e-mail de recuperação, troque a senha pelo site oficial e revogue as sessões.
- Se digitou um código MFA, trate a sessão como possivelmente comprometida e fale com o suporte oficial.
- Se a carteira assinou uma aprovação, examine e revogue a permissão.
- Se digitou a frase-semente, crie uma carteira com uma frase nova e transfira os ativos restantes.
- Preserve a URL, as mensagens, o hash da transação e os endereços de recebimento para denúncia.
Perguntas frequentes#
HTTPS significa que um site cripto é seguro?
Não. HTTPS protege os dados em trânsito até o domínio exibido na barra de endereços. Isso não prova que o domínio pertence à empresa verdadeira.
Uma carteira pode ser drenada apenas ao ser conectada?
A conexão normalmente revela o endereço público. A perda costuma exigir assinatura, aprovação, chave exposta ou falha no software da carteira. Ainda assim, desconecte e revise permissões se o site era suspeito.
O primeiro resultado da busca é sempre oficial?
Não. Anúncios, manipulação do ranking e trechos copiados podem destacar uma página falsa. Verifique o hostname por uma rota independente.
Devo usar uma ferramenta que consulta a idade do domínio?
Ela pode servir como um sinal, mas um domínio antigo pode ser comprometido e um projeto legítimo novo pode usar um domínio recente. Não deixe a idade substituir a verificação direta e a análise da transação.
Fontes#
- CISA: Phishing Guidance
- FBI IC3: Scammers Impersonating Cryptocurrency Exchanges
- Ethereum.org: Security and Scam Prevention
- Trezor: Common Scams and Phishing
Aviso de risco: Conferir o domínio reduz o risco, mas não prova que um site, front-end ou contrato inteligente seja seguro. Verifique tanto a rota de acesso quanto a autoridade solicitada.
Padrão editorial
Este guia é educativo e baseado em fontes. Controles de segurança, regras das corretoras e exigências legais podem mudar; confirme etapas importantes em fontes oficiais.
