O phishing Web3 é perigoso porque um golpista nem sempre precisa da sua senha. Em uma carteira de autocustódia, o atacante pode tentar obter sua Frase Secreta de Recuperação, enganá-lo para que se conecte a um aplicativo descentralizado (dapp) falso ou persuadi-lo a aprovar uma transação ou permissão de token que dê a um contrato malicioso acesso aos seus ativos.
O objetivo de uma boa segurança de carteira não é, portanto, memorizar todos os golpes. É construir um processo que produza um resultado melhor, mesmo quando a mensagem, o site ou a transação parecerem convincentes. Um padrão prático é este: antes de assinar qualquer coisa, você deve saber com quem está interagindo, o que a solicitação à carteira autorizará, quanto valor está exposto e o que você fará se algo parecer suspeito.
O phishing é um ataque de engenharia social: o golpista cria uma justificativa plausível para que você realize uma ação que o beneficie. Na Web3, essa ação pode ter consequências mais graves do que clicar em um link malicioso. Um site falso pode solicitar que você revele uma frase de recuperação, assine uma mensagem, aprove uma permissão de uso de tokens ou autorize uma transação que movimente ativos.
A Coinbase alerta que sites de phishing podem imitar serviços legítimos e podem ser distribuídos por e-mail, mensagens de texto, redes sociais e anúncios em mecanismos de busca. Suas orientações para a carteira também enfatizam a importância de verificar o URL exato do aplicativo descentralizado (dapp) e nunca compartilhar a frase de recuperação. Consulte as orientações da Coinbase Wallet sobre como evitar golpes com criptomoedas .
A MetaMask descreve ataques de spoofing de forma semelhante, nos quais contas de suporte falsas imitam funcionários oficiais e solicitam aos usuários sua Frase Secreta de Recuperação. Uma frase de recuperação pode restaurar a carteira e expor as chaves privadas associadas; portanto, entregá-la a outra pessoa ou site pode dar a eles o controle da carteira. Consulte as orientações da MetaMask sobre golpes de spoofing .
Sua frase de recuperação, também chamada de frase mnemônica ou frase secreta de recuperação, é o segredo de backup que pode restaurar uma carteira de autocustódia. O teste mais importante é simples: nenhum agente de suporte, site, formulário, chatbot, página de airdrop ou processo de "verificação de carteira" deve recebê-la.
Se alguém lhe pedir a frase secreta de recuperação, a resposta correta não é "Verifiquei o logotipo e parecia real". A resposta correta é recusar-se a fornecê-la e acessar o site de suporte oficial do provedor por conta própria. A MetaMask afirma que seus representantes de suporte nunca solicitarão uma frase secreta de recuperação, e a Coinbase afirma de forma semelhante que seu suporte não solicitará uma frase mnemônica. Consulte as orientações oficiais de suporte da MetaMask e as orientações da Coinbase sobre phishing .
Uma carteira de hardware pode proteger suas chaves privadas contra exposição direta a um computador, mas não pode determinar se uma transação é economicamente segura para você. Se você aprovar uma transação maliciosa, o dispositivo poderá assinar fielmente exatamente o que você instruiu.
É por isso que informações de transação legíveis são importantes. A Ledger descreve a "assinatura clara" como a apresentação de detalhes da transação, como a ação, o destinatário e o valor, em um formato legível para humanos antes da aprovação. O benefício de segurança vem da comparação desses detalhes com o que você pretendia fazer. Veja a explicação da Ledger sobre assinatura clara .
Um teste útil de aprovação/reprovação antes de assinar é: você consegue explicar, em linguagem simples, o que a solicitação fará? Se a carteira exibir um contrato desconhecido, acesso ilimitado a gastos, um destinatário inesperado ou dados obscuros que você não consegue verificar de forma significativa, a opção mais segura é interromper o processo em vez de tratar a tela de confirmação como uma mera formalidade.
As aprovações de tokens são permissões que permitem que um contrato inteligente gaste um token específico em seu nome. Elas são frequentemente necessárias para exchanges descentralizadas, aplicativos de staking e outros aplicativos descentralizados (dapps), mas aprovações excessivamente amplas aumentam a vulnerabilidade que pode ser exposta caso um contrato ou site se revele malicioso.
A MetaMask explica que desconectar uma carteira de um aplicativo descentralizado (dapp) não é o mesmo que revogar a aprovação de um token. A desconexão pode remover o acesso de um site às informações da carteira, mas uma permissão existente na blockchain pode permanecer ativa. A documentação da MetaMask recomenda revisar as permissões e revogar as aprovações indesejadas. Consulte o guia da MetaMask sobre como revogar aprovações de tokens .
O resultado mensurável aqui é um raio de impacto menor. Se você usa um aplicativo descentralizado (dapp) raramente, uma antiga permissão ilimitada não deve permanecer simplesmente porque você se esqueceu dela. Revise as permissões periodicamente e remova as que não precisa mais. Quando a carteira ou o dapp suporta um limite de gastos, use o menor valor possível em vez de optar pelo acesso ilimitado por padrão.
Nenhuma rotina de segurança elimina todos os riscos. Você precisa de um plano de resposta a incidentes antes que qualquer coisa aconteça. Se você detectar uma transação não autorizada, uma aprovação maliciosa ou evidências de que sua frase de recuperação foi exposta, a prioridade muda de prevenção para contenção.
As orientações da MetaMask sobre carteiras comprometidas indicam que transações não autorizadas podem ser um sinal de comprometimento da carteira e recomendam a transferência dos fundos restantes para uma carteira segura, a interrupção do uso da carteira comprometida e a denúncia do golpe. Também destacam uma limitação importante da autocustódia: transações em blockchain geralmente não podem ser revertidas pelo provedor da carteira. Consulte as orientações da MetaMask sobre carteiras comprometidas .
Use a lista de verificação a seguir como um critério de decisão, não como uma garantia. Atender a todos os itens reduz o risco óbvio, mas um site ou contrato de aparência legítima ainda pode ser comprometido.
| Verificar | Bom sinal | Motivo para parar |
|---|---|---|
| Fonte | Você acessou o site por meio de um marcador oficial salvo ou de um canal de projeto verificado. | Você chegou aqui por meio de uma mensagem direta não solicitada, link de e-mail, anúncio ou resposta de "suporte" |
| Domínio | O domínio exato corresponde ao projeto oficial. | Erro ortográfico, palavra extra, subdomínio incomum ou link encurtado. |
| Frase de recuperação | Não houve solicitação para isso. | Qualquer solicitação para digitar, carregar, "sincronizar" ou verificar isso. |
| Solicitação de carteira | A ação corresponde ao que você iniciou intencionalmente. | Assinatura, aprovação, troca de cadeia ou transação inesperadas. |
| Destinatário e valor | Eles correspondem à transação que você pretende realizar. | Destinatário ou valor desconhecidos |
| Acesso por token | A permissão é limitada ao que a ação exige. | Aprovação ilimitada ou inexplicável |
| Pressão | Você tem tempo para verificar por conta própria. | Ameaças, contagens regressivas, “suspensão de conta” urgente ou recompensa garantida. |
Verificar o domínio é essencial, mas é apenas uma camada de proteção. Os atacantes podem comprometer contas de redes sociais, comprar anúncios em mecanismos de busca, se passar por funcionários de suporte ou direcionar usuários para páginas com aparência profissional. Uma página com aparência legítima também pode conter uma interação maliciosa ou comprometida de um contrato inteligente.
Para transações de maior valor, utilize duas verificações independentes. Por exemplo, abra o projeto a partir de um marcador salvo e verifique separadamente o contrato ou anúncio por meio de um canal oficial do projeto. Não utilize dois links da mesma mensagem suspeita e considere isso como verificação independente.
Os alertas de segurança da carteira podem ajudar, mas não são garantias. A MetaMask afirma explicitamente que os sinais de confiança e os alertas de segurança são informativos e não garantem a segurança. Se um endereço ou site for sinalizado como malicioso, não se conecte nem assine. Se nenhum aviso for exibido, você ainda precisará verificar a interação por conta própria. Consulte a documentação de alertas de segurança da MetaMask .
Um processo de segurança deve se tornar mais rigoroso à medida que o potencial de perda aumenta. Uma carteira que contém uma pequena quantia para experimentar aplicativos descentralizados (dapps) não precisa ter o mesmo modelo operacional que uma carteira que contém economias de longo prazo.
Alguns sinais são tão fortes que tornam desnecessária qualquer interação adicional. Pare se um suposto agente de suporte solicitar sua frase de recuperação, senha, código de autenticação de dois fatores, software de acesso remoto ou transferência para uma carteira "segura". A Coinbase lista explicitamente esses comportamentos como coisas que seus agentes de atendimento ao cliente não solicitarão.
Pare também quando uma mensagem criar uma urgência artificial, prometer uma recompensa excepcionalmente alta ou pedir que você assine algo que não tenha relação com a ação que você iniciou. Uma vantagem comum do phishing é a velocidade: o atacante quer que você aja antes de verificar.
Clicar em um link não significa automaticamente perder fundos. O que importa é o que aconteceu depois. Se você apenas abriu uma página e não inseriu uma frase de recuperação, instalou um software, conectou uma carteira, assinou uma mensagem, aprovou uma permissão de token ou autorizou uma transação, seu risco pode ser menor. Feche o site, verifique a segurança do navegador e do dispositivo e retorne ao serviço por meio de um URL verificado por terceiros.
Se você conectou a carteira, verifique as permissões ativas. Se você aprovou gastos com tokens, revise e revogue permissões suspeitas. Se você assinou uma transação, verifique-a no explorador de blocos apropriado para entender o que foi autorizado. Se sua frase de recuperação ou chave privada foi exposta, considere a carteira comprometida e transfira os ativos restantes para uma nova carteira segura o mais rápido possível.
Não espere que um provedor de carteira reverta uma transferência on-chain. A autocustódia significa que você controla as chaves, mas também significa que, geralmente, os provedores não podem desfazer uma transação válida na blockchain depois de confirmada.
Você não precisa de uma pontuação complicada. Acompanhe alguns resultados observáveis:
Se não for possível atingir um desses resultados, aprimore esse controle específico em vez de adicionar mais ferramentas de segurança aleatoriamente.
Ferramentas de segurança reduzem o risco; elas não eliminam a necessidade de bom senso. Uma carteira de hardware pode proteger chaves privadas, mas não impede que você assine intencionalmente uma transação maliciosa. Um aviso do navegador pode não detectar um novo domínio de phishing. Um aplicativo descentralizado (dapp) legítimo pode ser comprometido. Uma conta conhecida em uma rede social pode ser invadida. Aprovações de tokens podem permanecer válidas mesmo após você se desconectar de um site.
A ameaça mais ampla permanece substancial. Em abril de 2026, o FBI relatou que as queixas relacionadas a criptomoedas em seu Relatório de Crimes na Internet de 2025 representaram mais de US$ 11 bilhões em perdas relatadas, sendo que phishing e spoofing estavam entre os tipos de queixa mais frequentes. Esses números abrangem categorias mais amplas e não devem ser interpretados como perdas com criptomoedas apenas por phishing, mas demonstram a importância da verificação e do preparo para incidentes. Consulte o comunicado do FBI de 6 de abril de 2026 sobre o Relatório de Crimes na Internet de 2025 .
O hábito diário mais importante não é "nunca clicar em nada". É separar a descoberta da autorização. Você pode descobrir um projeto por meio de mídias sociais, resultados de busca ou mensagens, mas não autorize uma ação na carteira por esse mesmo caminho não verificado. Navegue até o site oficial do projeto, verifique o domínio, inspecione a solicitação da carteira, limite as permissões e assine somente quando a transação corresponder à sua intenção.
Se o processo parecer apressado ou confuso, interrompê-lo é uma medida de segurança bem-sucedida. Na Web3, recusar uma transação custa muito menos do que aprovar uma transação incorreta.
Aprenda scalping de criptomoedas desde o início: liquidez, spreads, taxas de maker e taker, entradas, saídas, controle de risco, erros comuns e um plano de prática para iniciantes.
Aprenda a ler e avaliar o whitepaper de um projeto de criptomoedas, verificar as alegações técnicas e do token, identificar sinais de alerta e decidir o que merece uma análise mais aprofundada.
Aprenda como o phishing Web3 rouba criptomoedas por meio de sites falsos, roubo de frases-semente, aprovações maliciosas e assinaturas enganosas — e como reduzir o risco para sua carteira.
Aprenda como funciona o sniping de moedas meme no lançamento, quais ferramentas são importantes, como verificar a liquidez e os riscos do token, definir slippage e taxas e gerenciar saídas sem presumir que a velocidade garante lucro.
Raydium é uma troca descentralizada utilizando o mecanismo AMM. Neste guia, descubra como utilizar o Raydium para negociar com eficiência e segurança!
Neste artigo, Coin98 irá guiá-lo sobre como usar o Orca DEX de AZ, incluindo: conectar carteira, trocar, adicionar e remover liquidez, além de novas funcionalidades do Orca.
Aprenda sobre o ecossistema Solana e cada peça do quebra-cabeça para preparar o terreno para encontrar oportunidades em Solana.
Analise e avalie o modelo operacional do Uniswap V2, o modelo mais básico para qualquer AMM.
A exchange Remitano é a primeira exchange que permite a compra e venda de criptomoedas em VND. Instruções para se registrar no Remitano e comprar e vender Bitcoin em detalhes aqui!
O artigo fornecerá o guia mais completo e detalhado para usar o Mango Markets para experimentar todas as funcionalidades deste novo projeto em Solana.
