Como saber se sua carteira de criptomoedas foi hackeada: 10 sinais de alerta

Uma transferência confirmada que você não autorizou é o sinal mais claro de que há algo errado. Mas uma carteira pode ficar vulnerável antes mesmo de qualquer dinheiro desaparecer. Uma frase de recuperação roubada, uma permissão de gasto oculta ou uma mudança em quem controla a carteira podem dar acesso a um invasor enquanto seu saldo ainda parece normal.

Alguns dos sinais abaixo indicam um roubo real. Outros mostram que sua carteira ou seu dispositivo podem estar expostos. Essa diferença importa porque a solução depende de como o invasor conseguiu acesso.

Se os fundos estão saindo da carteira neste momento, pare de enviar dinheiro para ela e vá diretamente às medidas de resposta perto do fim do artigo.

O que significa, de fato, ter uma carteira de criptomoedas hackeada?

Suas criptomoedas ficam registradas em uma blockchain. Sua carteira ajuda você a controlá-las usando chaves privadas ou outras regras de autorização. Uma frase de recuperação, também chamada de frase-semente (seed phrase), pode recriar as chaves de várias contas da carteira.

As pessoas usam a palavra "hackeada" para descrever problemas diferentes:

• Chaves roubadas: Alguém tem sua chave privada ou frase de recuperação e pode autorizar transações em outro dispositivo.
• Permissões usadas indevidamente: Você aprovou um contrato ou assinou uma solicitação que permite a alguém movimentar determinados ativos. Suas chaves podem continuar privadas.
• Dispositivo ou aplicativo comprometido: Um malware, uma carteira falsa ou uma extensão maliciosa rouba informações ou altera o que você está prestes a enviar.
• Conta de corretora comprometida: Alguém acessa a conta em que uma empresa mantém criptomoedas em seu nome.

Uma carteira de hardware ajuda a proteger as chaves privadas, mas não torna uma permissão perigosa segura. Se você autorizar a ação errada, a carteira de hardware poderá assiná-la corretamente.

1. Criptomoedas reais saem da sua carteira sem autorização

Você encontra uma transferência concluída, uma venda de NFT ou um saque que não consegue explicar. Isso pode acontecer enquanto seu celular está desligado ou quando você está longe do computador.

Primeiro, descarte a possibilidade de ser algo que você configurou anteriormente, como um pagamento automático, um saque da corretora ou uma ação dentro de um aplicativo de negociação. Depois, consulte a transação real na blockchain.

Confirme que um ativo verdadeiro foi movimentado e que seu saldo diminuiu. Uma entrada estranha no histórico de atividades da carteira, por si só, não basta. Golpistas podem criar registros enganosos de tokens que parecem mostrar transferências feitas a partir do seu endereço.

Assim que confirmar uma movimentação não autorizada de ativos reais, aja imediatamente. Não é preciso esperar até que toda a carteira seja esvaziada.

2. Novos depósitos desaparecem quase imediatamente

Você envia ETH ou outra moeda nativa da rede para a carteira a fim de pagar taxas de transação. Em segundos, o valor vai para um endereço desconhecido. A mesma coisa acontece com o próximo depósito.

Esse é um padrão comum de um sweeper bot, programa que monitora uma carteira exposta e retira automaticamente os fundos disponíveis. Depois de descartar automações configuradas intencionalmente por você, saques repetidos desse tipo são um forte sinal de acesso não autorizado.

O bot pode funcionar no computador do invasor. Fechar o aplicativo da carteira ou reiniciar o celular não vai interrompê-lo. Alguns bots deixam pequenos saldos intocados até chegar um depósito maior. Portanto, dinheiro que permanece parado não prova que a carteira é segura.

Não continue depositando dinheiro para o gás (gas) nem faça um depósito de teste. Você pode estar apenas financiando o invasor.

3. Você encontra permissões de tokens ou NFTs que não reconhece

Muitos aplicativos de criptomoedas pedem permissão para gastar tokens. Essas autorizações podem continuar ativas muito depois de você parar de usar o aplicativo.

Os sinais de alerta incluem um operador autorizado recentemente que você não reconhece, um acesso concedido depois de visitar um site suspeito ou um limite de gasto muito maior do que o necessário para a ação. Uma permissão de NFT pode permitir que um operador transfira todos os NFTs que você possui em determinada coleção.

Autorizações ilimitadas são comuns em aplicativos legítimos, então não provam que houve uma invasão. O importante é quem tem acesso, o que essa pessoa ou contrato pode movimentar e se você pretendia conceder essa permissão.

Verifique a rede, o contrato verdadeiro do token, o operador autorizado (spender) e o valor. Desconectar o site da carteira não cancela uma autorização já registrada na blockchain.

4. Um suposto pedido de login concede direitos de movimentar ativos

Você acessa um site para entrar na conta, resgatar uma recompensa ou verificar sua carteira. O site pede uma assinatura sem taxa de transação. A solicitação inclui uma quantidade de tokens, um operador autorizado ou uma ordem de venda de NFT que você não pretendia aprovar.

Algumas assinaturas podem autorizar gastos sem que você faça uma transação de aprovação separada. Os recursos chamados Permit e Permit2, além das assinaturas de ordens em marketplaces, são exemplos. Aplicativos legítimos os utilizam, mas golpistas podem disfarçá-los como etapas inofensivas de login.

A ausência de taxa de gás não diz nada sobre a segurança da assinatura.

Há outro detalhe: uma permissão assinada, mas ainda não utilizada, pode permanecer fora da blockchain até que alguém a envie. Sua lista habitual de transações e, às vezes, até sua ferramenta de verificação de autorizações podem parecer normais enquanto essa permissão continua utilizável.

Se você assinou uma solicitação suspeita, interrompa a interação com o site e investigue o que a assinatura autorizou. O cancelamento depende do tipo de permissão. Uma revogação comum de autorização não invalida todas as assinaturas ainda não utilizadas.

5. A carteira tem um novo proprietário ou uma permissão de controle desconhecida

Algumas carteiras têm vários proprietários, contatos de recuperação, chaves temporárias de assinatura ou módulos de software capazes de executar ações. Elas costumam ser chamadas de carteiras inteligentes (smart wallets) ou contas inteligentes (smart accounts).

Um proprietário que você nunca adicionou, uma redução no número de assinaturas exigidas, um método de recuperação desconhecido ou um novo módulo exigem atenção imediata. Dependendo dos poderes concedidos, essa mudança pode permitir que alguém movimente fundos sem seu processo habitual de aprovação.

Na Ethereum e em redes compatíveis, um recurso chamado EIP-7702 também permite que uma carteira comum autorize código a operar por meio do seu endereço. Uma autorização maliciosa pode criar acesso contínuo sem expor sua frase de recuperação.

Um detalhe é fácil de passar despercebido: com esse recurso, uma delegação aceita pode permanecer ativa mesmo quando a execução da transação falha. O rótulo "falhou" nem sempre significa que as configurações de controle da carteira ficaram inalteradas.

Confira essas permissões usando as ferramentas oficiais da carteira. Apenas remover autorizações de tokens não elimina um proprietário desconhecido nem uma delegação da carteira.

6. Sua frase de recuperação ou chave privada foi exposta

Você digitou sua frase em um site, enviou-a a alguém que dizia ser do suporte ou importou-a para um aplicativo de carteira que depois se revelou falso. Você também pode descobrir que um backup legível estava acessível por meio de uma conta em nuvem violada ou de um arquivo compartilhado.

Trate as contas controladas por esse segredo como comprometidas, mesmo que nada tenha sido movimentado ainda. Alguém pode recriar a carteira em outro lugar sem disparar um alerta de login no seu aplicativo.

Alterar a senha do aplicativo da carteira não muda as chaves privadas expostas. Criar outra conta com a mesma frase de recuperação também não resolve o problema.

A extensão da exposição importa. Uma frase de recuperação vazada pode expor várias contas. Já o vazamento de uma chave privada importada separadamente pode afetar somente a conta controlada por ela.

7. Seu aplicativo ou extensão de carteira parece ter sido substituído

Você descobre uma extensão que nunca instalou, um download falso de carteira ou um alerta de segurança que identifica um software capaz de roubar dados da carteira. Sua carteira habitual também pode pedir inesperadamente que você a restaure após uma mudança inexplicada.

Um pedido de restauração pode ter uma causa normal, como uma reinstalação ou a limpeza dos dados do aplicativo. Isso é motivo para verificar o software antes de informar segredos, não uma prova de roubo por si só.

Verifique o aplicativo pelo site oficial do fornecedor da carteira e confirme a identidade da extensão. Um nome e um logotipo conhecidos são fáceis de copiar.

Se você já inseriu sua frase de recuperação em um software suspeito, considere-a exposta. Remover o aplicativo não apaga a cópia que o invasor já tem.

8. O endereço de recebimento muda quando você o cola

Você copia o endereço de um destinatário, cola na carteira e aparece outro endereço. Malwares de área de transferência podem substituir endereços de criptomoedas pelos de um invasor.

Isso indica um problema no dispositivo ou no software. Não significa necessariamente que alguém tenha sua chave privada, mas torna o dispositivo inseguro para transferências.

Invasores podem usar endereços substitutos parecidos com o original. Verificar só os primeiros e últimos caracteres pode não revelar a troca. Compare o endereço de destino inteiro com uma cópia confiável. Se usar uma carteira de hardware, confira o endereço na tela do dispositivo antes de aprovar.

Cancele a transação se os endereços forem diferentes. Ficar copiando e colando até que um pareça correto não resolve o problema.

9. Perdas inexplicadas aparecem em várias contas ou redes

O desaparecimento de um único token pode resultar de uma permissão de gasto específica. Transferências não autorizadas em várias contas derivadas da mesma frase de recuperação levantam suspeitas de exposição mais ampla das chaves.

Por exemplo, perdas em duas redes, somadas a atividades em outra conta vinculada à mesma frase, exigem uma investigação mais abrangente. Verifique todas as contas e redes afetadas, em vez de presumir que o problema se limita ao primeiro token que chamou sua atenção.

Esse padrão ajuda a restringir as possíveis causas, mas não é conclusivo. Várias permissões maliciosas ou uma autorização de carteira válida em múltiplas redes também podem causar perdas generalizadas.

É normal que o endereço da carteira seja igual em diferentes redes do tipo Ethereum. Isso, por si só, não é um sinal de alerta. O alerta é a atividade inexplicada envolvendo essas contas.

10. Sua conta na corretora mostra acessos ou saques desconhecidos

Se você guarda criptomoedas em uma corretora, procure sessões desconhecidas, dados de recuperação alterados, novos endereços de saque ou saques que não solicitou. Mudanças não solicitadas na autenticação de dois fatores são especialmente graves.

Abra você mesmo o aplicativo ou site oficial para confirmar o alerta. Um e-mail alarmante pode ser phishing. Uma localização desconhecida também pode ser resultado de uma VPN ou rede móvel. Por isso, analise em conjunto o dispositivo, o horário e as ações realizadas na conta.

A invasão de uma conta de corretora exige medidas de segurança da conta. Use o bloqueio de conta ou a restrição de saques do fornecedor, se disponível, entre em contato com o suporte oficial e proteja seu e-mail e seus métodos de autenticação.

Essas verificações de login não se aplicam da mesma maneira a uma carteira básica controlada por uma frase de recuperação. Quem tem as chaves talvez nunca precise entrar no aplicativo.

Atividades estranhas que não provam uma invasão

Algumas situações comuns podem parecer alarmantes:

• Saldo menor em dólares: O preço pode ter caído, mesmo que você ainda tenha a mesma quantidade de moedas.
• Tokens ausentes no aplicativo: Você pode ter selecionado a conta ou rede errada, ocultado o token ou encontrado um problema de exibição.
• Uma saída de Bitcoin desconhecida: Um pagamento pode enviar o valor restante de volta para um novo endereço de troco controlado pela sua própria carteira.
• Um token ou NFT não solicitado: Spam, por si só, não é prova de que suas chaves foram roubadas. Oculte o ativo em vez de seguir seus links ou assinar uma transação para removê-lo.
• Transferências muito pequenas ou de valor zero envolvendo um endereço familiar: Pode ser envenenamento de endereço (address poisoning), em que golpistas inserem um destinatário parecido no seu histórico para que você o copie mais tarde.

Alguns tokens falsos copiam o nome e o símbolo de um token verdadeiro. Eles podem até criar registros enganosos de transferências de saída. Verifique o contrato verdadeiro do token e o saldo antes de tratar um registro como prova de roubo.

Evite copiar o destinatário das atividades recentes. Obtenha o endereço diretamente de um destinatário verificado ou de uma lista de endereços confiável.

Como verificar o que realmente aconteceu

Use um explorador de blockchain confiável para a rede correta. Você pode consultar um endereço público sem conectar a carteira, pagar uma taxa ou revelar a frase de recuperação.

Verifique estes detalhes:

1. A conta e a rede: Confirme que está consultando o endereço que mantinha os ativos desaparecidos.
2. O status da transação: Diferencie atividades pendentes de movimentações concluídas. No caso de delegações da carteira, confira também se as permissões mudaram apesar de a execução ter falhado.
3. O ativo real: Confirme o contrato do token ou a coleção de NFTs, em vez de confiar no nome ou logotipo.
4. A alteração do saldo e o destino: Identifique o que saiu e para onde foi. Confira as transferências de tokens e NFTs, além da lista principal de transações.
5. As permissões anteriores: Procure aprovações, assinaturas ou mudanças de controle da carteira relacionadas à perda.

O remetente de uma transação pode ser a conta de outra pessoa quando ela usa uma autorização de token para retirar seus ativos. Isso não torna a transferência inofensiva. Da mesma forma, um registro de token que mostra seu endereço como origem não prova que você assinou pessoalmente a transação.

Se os registros da blockchain forem difíceis de interpretar, compartilhe o endereço público e o hash da transação com o suporte verificado da carteira. Esses dados podem ajudar na investigação sem expor suas chaves.

O que fazer se os sinais de alerta se confirmarem

Pare de adicionar fundos e assinar solicitações

Suspenda depósitos na carteira afetada. Rejeite novos pedidos de assinatura, inclusive ofertas para "reparar", "validar" ou "desbloquear" a carteira. Pare de usar um dispositivo que possa estar infectado e prossiga em outro dispositivo confiável.

Se uma frase de recuperação ou chave privada vazou

Para uma carteira comum controlada pelo segredo exposto, crie uma nova carteira com uma frase de recuperação completamente nova em um dispositivo confiável. Transfira os ativos restantes se puder fazer isso com segurança e, depois, deixe de usar as contas afetadas. Atualize os destinos de pagamentos que apontam para elas.

Se um sweeper estiver ativo, não deposite mais fundos na carteira antiga para pagar gás. Resgatar os ativos restantes pode exigir tratamento especializado das transações, e o sucesso não é garantido.

Se o problema for uma aprovação ou permissão assinada

Revogue as permissões relevantes usando uma ferramenta verificada e confirme que a revogação foi concluída. Uma aprovação para um token em uma rede não se aplica automaticamente a todas as outras.

Para uma assinatura suspeita ainda não utilizada, siga o processo de cancelamento específico da carteira ou do protocolo. Pode ser necessário transferir os ativos enquanto você verifica se a permissão continua utilizável.

A revogação não devolve ativos já roubados. Também não torna segura uma carteira cujas chaves vazaram.

Se as configurações de controle da carteira mudaram

Use o processo oficial de recuperação ou gerenciamento de permissões da carteira para remover proprietários, módulos, chaves de assinatura ou delegações não autorizados. Se uma chave de proprietário vazou, substitua o signatário nos casos em que a carteira permitir. Busque orientações específicas do fornecedor antes de considerar a conta novamente segura.

Se uma conta de corretora foi acessada

Bloqueie a conta ou restrinja saques pelo processo oficial do fornecedor. Em um dispositivo confiável, proteja seu e-mail, altere as senhas afetadas, encerre sessões desconhecidas e revise os dados de recuperação e a autenticação de dois fatores.

Preserve as provas e denuncie a perda

Guarde hashes de transações, endereços públicos, registros de data e hora, URLs suspeitas e mensagens relevantes enquanto protege os fundos restantes. Comunique o incidente à carteira ou corretora e às autoridades competentes.

Transferências confirmadas na blockchain geralmente não podem ser revertidas pelo suporte da carteira. A recuperação pode depender do congelamento de fundos por uma corretora, de uma investigação ou da devolução dos valores. Desconfie de quem promete recuperação garantida, principalmente se pedir pagamento antecipado ou sua frase de recuperação.