O golpe que explora o copiar e colar
A maioria dos golpes cripto ataca suas chaves ou suas assinaturas. O envenenamento de endereço ataca algo mais macio: seus hábitos. O atacante nunca toca na sua carteira e nunca pede que você assine nada. Ele simplesmente faz com que um endereço parecido apareça no seu histórico de transações — e espera o dia em que você o copiará no lugar do verdadeiro. Uma colagem desatenta, e uma transferência destinada ao seu próprio endereço ou a um contato habitual vai para o atacante, irreversivelmente.
Como o envenenamento realmente funciona
O ataque começa com a geração. Endereços cripto são longos o bastante para que atacantes produzam barato endereços vanity que combinam com os primeiros e últimos caracteres do seu ou do de alguém com quem você transaciona — exatamente os caracteres que as interfaces exibem. Depois vem a semeadura: o atacante envia uma transação que planta o endereço parecido no seu histórico. Às vezes é uma minúscula transferência "dust" de alguns centavos para o seu endereço; em muitas chains pode até ser uma transferência de tokens de valor zero, que custa ao atacante apenas o gas e pode ser construída para que seu histórico mostre uma entrada envolvendo o endereço falso. Sua página no explorador e sua lista de atividade agora contêm uma isca convincente, esperando pacientemente.
Por que funciona: truncamento e confiança no histórico
Duas convenções de UX tornam a armadilha eficaz. Primeira: as interfaces truncam quase universalmente os endereços para algo como 0x1a2b…9f8e — então um sósia projetado para combinar com esses caracteres visíveis é indistinguível à primeira vista. Segunda: as pessoas tratam o próprio histórico de transações como uma agenda confiável: "o endereço para o qual enviei semana passada" parece seguro de copiar. O envenenamento transforma exatamente essa confiança em arma. Nada na entrada falsa parece anômalo; ela fica ao lado das suas transações legítimas, formatada de forma idêntica, muitas vezes espelhando a forma truncada de uma contraparte real.
O que o envenenamento pode e não pode fazer
Vale dizer com clareza: uma transação de envenenamento, por si só, não leva nada. Receber dust não compromete suas chaves; uma transferência de valor zero não concede nenhuma aprovação; o atacante não ganha nenhum poder sobre sua carteira. O ataque inteiro é uma aposta num erro futuro seu. Essa é a boa notícia — significa que a defesa é inteiramente comportamental e, ao contrário de um comprometimento de chave, não há nada a remediar. Ignore o dust (interagir com tokens "presente" desconhecidos é outra família de golpes), e a isca permanece inofensiva para sempre.
Os hábitos que deixam você imune
Quatro hábitos fecham a porta. Nunca copie endereços do histórico de transações — pegue-os da interface do próprio destino, de uma página oficial ou de um contato salvo. Verifique mais do que as pontas: antes de assinar, confira também um trecho do meio do endereço, já que os sósias são gerados para combinar com as pontas que as interfaces exibem. Use a agenda de endereços da sua carteira para contrapartes recorrentes, para que envios rotineiros não envolvam cópia alguma. E para transferências grandes ou inéditas, envie um pequeno valor de teste e confirme a chegada antes de comprometer o resto. Combine isso com a higiene mais ampla das nossas melhores práticas de segurança de carteiras — e lembre que o momento da assinatura é sempre a última linha de defesa, como enfatizamos em conectar sua carteira a uma dApp com segurança.
Onde a WATS se encaixa
A autocustódia coloca a decisão de assinar — e portanto essa defesa — inteiramente nas suas mãos, e a WATS é construída para mantê-la lá: totalmente non-custodial em EVM, Solana e TON, onde você detém suas chaves e a WATS nunca detém nenhuma, com contatos salvos para que transferências rotineiras nunca dependam de copiar do histórico. O que a WATS remove é o atrito que tenta as pessoas a se apressar: cada ação, em cada chain, é cobrada em um único token, ATS, em vez do gas nativo da chain — via um paymaster ERC-4337 na EVM e um fee-payer/relayer equivalente na Solana e na TON — de modo que um cuidadoso envio de teste nunca trava por falta de token de gas naquela rede. O ATS é um OFT da LayerZero com um único saldo nos três ecossistemas, e o ATS coletado é queimado de um suprimento de 100M rumo a um piso de 30M; a WATS é a primeira e única carteira a combinar as taxas em token único ERC-4337 + OFT com essa queima. Detalhes na página da taxa ATS.
Perguntas frequentes
O que é um ataque de envenenamento de endereço?
É um golpe em que um atacante gera um endereço parecido que combina com os primeiros e últimos caracteres visíveis de um que você usa, e então o planta no seu histórico via uma transferência dust ou de valor zero. O ataque não leva nada por si só — ele espera que você depois copie o endereço falso do histórico e envie fundos para ele. A defesa é comportamental: nunca pegue endereços do histórico e verifique além das pontas truncadas.
Recebi dust ou um token estranho de um endereço desconhecido — fui comprometido?
Não. Transferências recebidas não podem roubar chaves, criar aprovações nem controlar sua carteira — qualquer um pode enviar qualquer coisa para um endereço público. O risco só surge se você depois copiar o endereço do atacante por engano, ou se interagir com o contrato de um token desconhecido (um padrão de golpe distinto — simplesmente não toque nele). Ignore o dust e seus fundos permanecem exatamente tão seguros quanto antes.
Como devo verificar um endereço antes de enviar?
Confira mais do que as pontas: os sósias são gerados especificamente para combinar com os primeiros e últimos caracteres que as interfaces exibem, então compare também um trecho do meio. Melhor ainda, evite a comparação manual em pagamentos rotineiros usando contatos salvos na carteira, e em transferências grandes ou inéditas envie um pequeno valor de teste e confirme a chegada antes de enviar o restante.