O phishing de cripto se revela pela abordagem, não pela aparência: um contato fora dos canais que você nunca pediu — uma DM, um anúncio pago de busca, um QR code, um convite de calendário —, um prazo fabricado e um pedido que nenhuma parte legítima jamais faz, a saber, a sua seed phrase ou uma assinatura em uma página à qual você chegou por um link. Nenhuma parte legítima jamais precisa da sua frase de recuperação, e uma carteira totalmente não custodial como a WATS — em que você detém as chaves e a WATS nunca detém uma chave — não tem conta alguma para desbloquear nem motivo algum para pedir essas palavras. O design não prova nada, então confira o domínio caractere por caractere e leia-o da direita para a esquerda: o nome registrado fica imediatamente antes do domínio de topo, o que faz de app.wallet.com.claim-rewards.io o site claim-rewards.io. Nunca chegue a um site financeiro por um anúncio, uma DM ou um QR code — salve o endereço verdadeiro nos favoritos uma vez e entre somente por esse favorito, e lembre-se de que HTTPS e um cadeado provam criptografia, não honestidade. Se você já clicou, faça a triagem pelo que veio depois: fechar a aba costuma ser inofensivo, conectar sem assinar apenas expõe o seu endereço, uma assinatura significa que você deve revisar a atividade recente e revogar agora as aprovações de tokens que não reconhece, e uma seed phrase digitada significa que a carteira está permanentemente comprometida e que tudo precisa ser movido imediatamente para uma recém-gerada.
Como identificar phishing de cripto?
Phishing de cripto se revela por três sinais: uma abordagem fora dos canais — uma DM, um anúncio ou um convite que você nunca pediu —, um prazo fabricado (“resgate em 10 minutos”, “sua carteira está em risco”) e um pedido que nenhuma parte legítima jamais faz: a sua seed phrase, ou uma assinatura em uma página à qual você chegou por um link. Confira o domínio caractere por caractere e verifique por um canal em que você já confia.
O phishing é a metade social do ataque. A metade técnica — a aprovação ou a assinatura maliciosa esperando atrás do link — pertence aos wallet drainers, e aquele artigo cobre a mecânica on-chain. Este aqui é sobre o passo anterior: reconhecer a isca enquanto os seus fundos ainda são seus.
A taxonomia das iscas: cinco formas de chegarem até você
Quase toda campanha é uma variação de cinco métodos de entrega. Aprenda os formatos, e a isca específica — o nome do token, a marca sendo imitada — deixa de importar.
| Isca | Como funciona | O sinal que entrega |
|---|---|---|
| Site clonado em anúncio de busca | Um anúncio pago acima do resultado verdadeiro leva você a uma cópia idêntica em um domínio parecido | O domínio — nunca o design |
| Resgate de airdrop falso | “Você é elegível” para um token de que você vagamente se lembra; a página de resgate quer uma conexão e uma assinatura | Elegibilidade não solicitada mais uma contagem regressiva |
| “Suporte” por DM | Minutos depois de você reclamar publicamente, uma conta de aparência oficial oferece ajuda por um formulário de “validação” | O suporte de verdade nunca manda DM primeiro |
| Ganchos de urgência e medo | “Sua carteira será suspensa”, “a migração encerra hoje à noite” — o pânico é o produto | Um prazo que você não encontra em nenhum canal oficial |
| QR codes envenenados e convites de calendário | Eventos de calendário adicionados automaticamente ou adesivos com QR em conferências levam você direto ao clone | Você nunca pediu por isso |
Como os sites falsos de cripto enganam as pessoas?
Sites clonados funcionam porque copiar design não custa nada. Um atacante espelha um dapp ou site de carteira real — logo, layout, botão de conectar — em minutos, hospeda tudo em um domínio parecido e então compra um anúncio de busca para que o falso fique acima do original nos resultados, ou semeia o link em respostas, DMs e posts de airdrop falso. Clones entregues por anúncio são eficazes justamente porque clicar no primeiro resultado da busca parece diligência, e não risco. A página se comporta perfeitamente até o instante em que pede que você assine ou “verifique” algo — a aparência de um site não diz nada sobre o que ele é. Só o domínio diz.
Como saber se uma URL é falsa?
O domínio é a única coisa que um atacante não consegue copiar exatamente — então ele chega perto e conta com você não olhar. Quatro verificações pegam quase tudo:
- Leia da direita para a esquerda. O nome registrado fica imediatamente antes do domínio de topo (ou sufixo público — em domínios de país como .co.uk, é a parte antes de .co.uk): em app.wallet.com.claim-rewards.io, o site verdadeiro é claim-rewards.io — tudo à esquerda disso é enfeite.
- Cace caracteres trocados. Um rn no lugar de um m, um 1 no lugar de um l, um 0 no lugar de um o, ou uma letra parecida emprestada de outro alfabeto — um único caractere é tudo de que um clone precisa. Nomes de domínio não diferenciam maiúsculas de minúsculas, então o truque nunca está na capitalização; está nas formas das letras. Os navegadores muitas vezes expõem a versão com alfabeto emprestado ao mostrar o endereço em sua forma bruta xn--… (punycode) em vez da palavra que você esperava, o que por si só já é motivo para parar.
- Desconfie do caminho, não apenas do endereço. Nunca entre em um site financeiro por um anúncio, uma DM, um QR code ou um convite de calendário. Salve os sites oficiais nos favoritos uma vez, a partir de uma fonte confiável, e chegue somente pelo favorito.
- Ignore o cadeado. HTTPS prova que a conexão está criptografada, não que o site é honesto — sites de phishing também carregam certificados válidos.
A única regra que derrota a maior parte disso
Seja qual for a embalagem, quase toda campanha converge para os mesmos dois pedidos: digitar a sua frase de recuperação, ou assinar algo em uma página à qual você não navegou por conta própria. Por isso uma única regra faz a maior parte do trabalho de defesa: nenhuma parte legítima jamais vai pedir a sua seed phrase. Nem uma equipe de carteira, nem uma exchange, nem uma ferramenta de “sincronização” ou “validação”, nem um resgate de airdrop. Como explica o que é uma seed phrase, a frase é as chaves — quem possui essas palavras possui a carteira, de forma permanente e irreversível. No instante em que elas são pedidas, você não está em uma conversa de suporte; você está em um assalto.
Verifique o canal, não a mensagem
O phishing tem sucesso ao tomar emprestado, por um momento, um canal em que você confia — uma caixa de entrada, um feed, uma página de busca. O contra-hábito é simples: nunca aja pelo canal em que a mensagem chegou. Se o “suporte” mandar uma DM, feche a DM e abra um chamado pelo site oficial do projeto. Se um e-mail disser que a sua carteira precisa migrar, vá até o seu favorito e procure o anúncio lá. Se um airdrop for real, ele será publicado nos canais que você já segue — não nos que encontraram você.
A urgência existe justamente para impedir essa checagem. Um prazo real sobrevive a dez minutos de verificação; um falso é projetado para não sobreviver. Esses hábitos se encaixam em uma rotina mais ampla — disciplina de assinatura, higiene de aprovações, guarda de chaves — coberta em melhores práticas de segurança para carteiras de cripto.
O que fazer se você clicou em um link de phishing?
Faça a triagem pelo que aconteceu depois do clique — o clique sozinho raramente é o dano.
- Você clicou e não fez mais nada. Feche a aba. Um navegador moderno visitando uma página não expõe, por si só, as suas chaves.
- Você conectou a carteira, mas não assinou nada. Conectar revela o seu endereço e permite que o site proponha transações — não concede acesso aos fundos. Desconecte o site nas configurações da sua carteira e siga em frente.
- Você assinou uma transação ou mensagem. Presuma que algo foi concedido: revise a atividade recente da sua carteira e revogue quaisquer aprovações de tokens que você não reconheça. Saiba que uma assinatura off-chain — uma mensagem no estilo permit — não deixa rastro no seu histórico de transações até que o atacante de fato a use, então um histórico vazio não é prova de que nada foi autorizado; se a carteira guarda algo que você não pode perder, mova também esses ativos para uma carteira nova. O artigo sobre drainers citado acima explica exatamente o que essas assinaturas autorizam.
- Você digitou a sua seed phrase. A carteira está comprometida e não tem conserto — gere uma carteira nova em um dispositivo limpo e mova tudo para ela imediatamente. Atacantes automatizam a varredura de frases recém-obtidas por phishing; velocidade é a única alavanca que você tem.
Onde a WATS se encaixa
A WATS é totalmente não custodial em todos os seus quatro produtos — a Chrome Extension, o aplicativo móvel, a Hot Wallet e o NFC Metal Card. Você detém as chaves, e a WATS nunca detém uma chave. É isso que torna aquela regra única trivial de aplicar: não existe conta do lado da WATS para um falso “agente de suporte” desbloquear, não existe cópia da sua frase de recuperação do lado da WATS para “reverificar”, e não existe situação alguma em que a WATS precise dessas palavras. Qualquer mensagem que as peça vestindo a marca WATS é phishing por definição, por melhor que o logo esteja copiado.
Vale ser preciso sobre o que isso compra e o que não compra, porque é o exagero nesse ponto que acaba machucando as pessoas. A não custódia não é um recurso antiphishing: autocustódia significa que a defesa são os seus hábitos, e uma frase digitada em um site clonado está perdida, não importa qual carteira a gerou. O que a não custódia elimina é toda uma superfície de engenharia social — a “recuperação de conta”, o “desbloqueio de conformidade”, a história do “saldo congelado” — porque esses pretextos só funcionam onde uma empresa guarda algo em seu nome. O NFC Metal Card da WATS pertence ao mesmo esclarecimento: ele não armazena chave privada alguma nem seed phrase alguma, autentica por aproximação chaves que permanecem dentro dos aplicativos WATS, e cada cartão carrega um ID exclusivo pareado a exatamente um dispositivo. Portanto, quem pedir que você “ative”, “registre” ou “valide” um cartão digitando a sua frase de recuperação em uma página está aplicando um golpe, não uma etapa de configuração.
A versão prática de tudo isso é curta. Instale a WATS pela página de download oficial, e não por um anúncio, uma DM ou um QR code que puseram na sua mão; salve esse endereço nos favoritos na primeira vez e entre pelo favorito todas as vezes seguintes. Anote a frase que a WATS gerar, mantenha-a offline e trate todo pedido por ela — em qualquer canal, com qualquer redação, venha de quem vier — como o ataque que ele é. Esses três hábitos, somados à checagem de domínio da direita para a esquerda, são o que de fato mantém intacta uma carteira em autocustódia.
Perguntas frequentes
Uma empresa legítima de cripto vai pedir a minha seed phrase alguma vez?
Não — nunca, sob nenhuma circunstância. A seed phrase é a chave mestra que regenera todas as chaves privadas da sua carteira, e nenhuma equipe de carteira, exchange, agente de suporte ou airdrop precisa dela para coisa alguma: problemas de suporte são resolvidos em software, não assumindo a custódia das suas chaves. Qualquer formulário, DM, pop-up ou “ferramenta de validação” que peça essas palavras é uma tentativa de phishing, ponto final, por mais oficial que pareça.
A WATS vai pedir a minha seed phrase alguma vez?
Não. A WATS nunca vai pedir a sua seed phrase, em canal nenhum, por motivo nenhum. A WATS é totalmente não custodial — você detém as chaves e a WATS nunca detém uma chave — então não há conta para desbloquear, saldo para liberar nem ação de suporte que pudesse exigir essas palavras. A sua frase só é digitada no seu próprio aplicativo WATS, durante a configuração ou a recuperação. Qualquer um que entre em contato como WATS e peça a frase, ou que direcione você a uma página que a peça, está executando um ataque de phishing, e a resposta correta é parar e navegar até o site oficial por conta própria, em vez de responder.
Como posso checar se um site de cripto é verdadeiro?
Leia o domínio da direita para a esquerda: o nome registrado fica logo antes do domínio de topo (ou sufixo público — em domínios de país como .co.uk, é a parte antes de .co.uk), então app.wallet.com.claim-site.io é claim-site.io, e não wallet.com. Procure caracteres trocados, como um rn no lugar de um m. Nunca chegue por um anúncio, DM ou QR code — navegue a partir de um favorito que você salvou de uma fonte oficial. Um cadeado só prova criptografia; sites de phishing também carregam certificados válidos.
Usar uma carteira não custodial como a WATS me protege de phishing?
Em parte, e é importante saber qual parte. O fato de a WATS ser totalmente não custodial elimina os pretextos em que o phishing mais se apoia — não existe conta guardada pela WATS para “recuperar”, “desbloquear” ou “verificar”, e a WATS nunca detém uma chave nem precisa da sua frase de recuperação — então qualquer mensagem que use esse roteiro é imediatamente identificável como falsa. O que isso não faz é impedir que você digite a sua frase em um site clonado ou assine uma transação maliciosa; na autocustódia, essas decisões são só suas. A carteira elimina a mentira; são os seus hábitos — favoritos, checagens de domínio, ler o que você assina — que impedem o roubo.
O que devo fazer se digitei a minha seed phrase em um site de phishing?
Trate a carteira como permanentemente comprometida — não há como tornar a frase secreta de novo, e trocar uma senha não adianta nada, porque a frase é as chaves. Crie uma carteira totalmente nova, com uma seed phrase recém-gerada, em um dispositivo limpo, instalando o aplicativo a partir de uma fonte oficial à qual você mesmo navegou, e não por qualquer link da mensagem que pegou você; depois mova todos os ativos para os novos endereços imediatamente, porque atacantes automatizam a varredura de frases obtidas por phishing e a velocidade importa. Em seguida, revise tudo o mais que a frase antiga protegia e aposente-a em todos os lugares.