Airdrop confiável ou golpe: um método com pontuação

Airdrop confiável, neste guia, é aquele realmente conduzido pelo projeto que diz estar por trás dele, usando um contrato e regras que esse projeto publicou. A definição é estreita de propósito. Ela não diz nada sobre o token valer alguma coisa. Separe as duas perguntas: primeiro, é real; depois, vale o seu tempo. Esta página cuida da primeira. O guia de golpes de airdrop mostra o que acontece quando a resposta é não.

A pontuação de 10 itens

Cada checagem tem um peso que reflete quão difícil é para o golpista falsificar e quão grave é se ela falhar. Os pesos são julgamento editorial nosso, não um padrão do setor, e somam 100. Marque o que você verificou pessoalmente, não o que a página afirma. Nada é enviado; o estado fica no seu navegador.

Como ler o resultado

Abaixo de 50

Não assine nada. Ou você ainda não terminou de checar, ou a evidência é fraca.

De 50 a 79

Incerto. Se for seguir, use uma carteira nova, com saldo pequeno e sem aprovações.

80 ou mais

Provavelmente real. Mesmo assim, leia cada pedido de assinatura.

Conferindo os canais oficiais

O princípio é uma cadeia de confiança que começa em algo que você encontrou sozinho e termina na página de resgate. Cada elo precisa apontar para frente, nunca da página de resgate de volta para uma alegação de autoridade.

1. 1

   Comece por uma fonte que você mesmo achou

   Busque o nome do projeto com a palavra docs, ou use um favorito salvo antes. Não comece pelo link que despertou seu interesse, seja ele de grupo, story ou vídeo.

2. 2

   Encontre o site e a documentação oficiais

   Veja se a documentação está no mesmo domínio, ou na mesma família de domínios, do site, e se descreve o airdrop em tom neutro, sem pressa nem promessa.

3. 3

   Siga o link para fora, até o resgate

   O anúncio oficial deve ter link para o domínio de resgate. Se o domínio só aparece em um post de rede social, pergunte-se por quê.

4. 4

   Olhe o repositório

   Projeto real costuma manter código público. Procure o código dos contratos, histórico de commits de meses e issues ativas. Repositório criado semana passada com um commit é evidência fraca.

5. 5

   Confirme que as redes sociais se apontam nos dois sentidos

   O site deve ter link para os perfis, e os perfis devem apontar para o mesmo site. Perfis clonados costumam falhar em uma das direções.

Sinais específicos no Brasil

Algumas checagens fazem mais sentido para quem está aqui.

• Airdrop anunciado por corretora. A Resolução BCB nº 520, em vigor desde 2 de fevereiro de 2026, define airdrop como distribuição gratuita de ativos virtuais a clientes ou usuários da prestadora e exige que as corretoras ofereçam informações detalhadas sobre airdrops dos ativos que listam, considerando riscos e benefícios. Se uma campanha diz vir de uma corretora, procure essa informação dentro do app ou do site oficial dela, nunca só na mensagem que você recebeu.
• Empresa operando sem autorização. Pela mesma resolução, as prestadoras de serviços de ativos virtuais precisam pedir autorização ao Banco Central, e quem já atuava em 2 de fevereiro de 2026 ganhou prazo de 270 dias para fazer o pedido. Uma “plataforma” que só existe em grupo de WhatsApp, sem empresa identificável, não passa nem do primeiro filtro.
• Promessa e pressa. Num experimento da CVM com a ANBIMA, um site de corretora falsa recebeu mais de 104 mil visitantes únicos, e mais de 49 mil demonstraram interesse em investir. Segundo a notícia da CVM, promessa de resultado garantido e senso de urgência são fortes indícios de fraude. Airdrop com contagem regressiva e “vagas limitadas” cai exatamente aí.
• Influenciador como fonte. Vídeo ou post de influenciador não substitui a documentação. Perfis podem ser clonados, e mesmo o perfil verdadeiro pode errar o link. Use o vídeo para descobrir o projeto, nunca para chegar à página de resgate.

Idade do domínio com RDAP

Muitos sites falsos de resgate são registrados dias antes do uso, e os dados de registro podem mostrar isso. O WHOIS era o protocolo tradicional de consulta. A ICANN descreve o RDAP como seu substituto, desenvolvido pela comunidade da IETF com acesso e respostas padronizados, e informa que, desde 28 de janeiro de 2025, registros e registradores de domínios genéricos não precisam mais oferecer WHOIS, exceto para .com, .name e .post, mas continuam obrigados a oferecer RDAP (ICANN). Na prática você vai ver os dois nomes para o mesmo tipo de consulta.

No resultado, observe data de criação, registrador e servidores de nome. Domínio criado muito antes da campanha, com dados estáveis, tranquiliza. Domínio criado há poucos dias, num registrador popular entre domínios descartáveis, é alerta. Dois cuidados, por experiência editorial: serviços de privacidade escondem o titular também em sites legítimos, então ocultação não é culpa; e domínio antigo pode ser sequestrado ou expirar e ser registrado de novo, então idade é sinal, não prova. A ferramenta ICANN Lookup é um lugar para fazer a consulta.

Contratos e auditorias

O contrato de resgate é de onde os tokens saem de verdade. Abra o endereço no explorador de blocos da rede certa e confira quatro coisas.

• O endereço bate com a documentação. Copie da documentação oficial e compare pelo menos os seis primeiros e os seis últimos caracteres. Melhor ainda, a sequência inteira.
• O código-fonte está verificado. Exploradores mostram código verificado que compila para o bytecode publicado. Contrato não verificado não é automaticamente malicioso, mas merece nota menor.
• A função que você vai chamar é um resgate. Procure uma função que confere uma prova ou elegibilidade e envia tokens para quem chama. Desconfie de código que puxa tokens de quem chama.
• Idade e atividade. Contrato de resgate sem transações antes do lançamento é normal. Contrato publicado há minutos por um endereço recém-abastecido, divulgado só por mensagem privada, não é.

Auditoria: procure um relatório hospedado pela própria auditoria, com escopo, data, achados e o commit revisado. Logo na página do projeto não é auditoria. E auditoria não prova que a página na sua frente usa o contrato auditado. Nossa posição editorial: auditoria é um bônus do lado do projeto, nunca motivo para relaxar na tela de assinatura.

Passo a passo na página de resgate

Você concluiu que o airdrop provavelmente é real. Agora, a página em si.

1. Use uma carteira burner ou de saldo baixo no primeiro teste, quando as regras permitirem; veja o guia de carteira burner. A elegibilidade fica presa ao endereço que a conquistou, então a burner só ajuda se ela mesma fez a atividade ou se as regras permitem delegar o resgate.
2. Compare a URL com a da documentação oficial, caractere por caractere. No celular, toque na barra de endereço para ver o domínio completo.
3. Conecte, mas ainda não assine. Um verificador real mostra se o seu endereço se qualifica antes de pedir qualquer coisa.
4. Leia o primeiro pedido. O resgate deve ser uma transação para o contrato verificado. Qualquer coisa que aprove um gastador de token, conceda permit ou chame setApprovalForAll é sinal para parar. A EIP-721 documenta que um operador aprovado dessa forma pode transferir os NFTs cobertos, e a EIP-2612 documenta que uma assinatura de permit define uma permissão sem transação sua.
5. Confira a quantidade com a fórmula publicada. Se o projeto publicou fórmula ou tabela, o número exibido precisa caber nela.
6. Depois do resgate, confira as aprovações. Siga o guia para revogar aprovações de token e confirme que nada foi concedido.

Exemplos comparados: distribuições documentadas e golpes comuns

Comparar uma distribuição real e documentada com as falsificações que você vai encontrar mostra quais checagens fazem o trabalho pesado. Os dois casos reais vêm da documentação dos próprios projetos.

A conta do golpe é simples. As checagens 4, 6, 7, 8 e 9 podem passar por acaso, por exemplo com um endereço de contrato real copiado, mas o golpe perde os pesos de 1, 2, 3, 5 e 10, que somam 55 dos 100 pontos. Por isso esses cinco itens concentram o maior peso. O caso da Arbitrum ensina outra coisa: janelas de resgate reais são documentadas e acabam. Página que oferece resgatar uma distribuição antiga, muito depois do prazo, merece desconfiança redobrada.

Nossa ordem, como julgamento editorial: primeiro o domínio de resgate contra a documentação, depois o tipo de assinatura, depois o endereço do contrato. São menos de dois minutos e pegam a maior parte do que vemos. Idade do domínio, repositório e auditoria vêm depois, porque são mais lentos e mais fáceis de imitar. Anote a URL e o contrato que você verificou; se a página redirecionar para outro domínio, recomece a pontuação do zero.

O que legitimidade não garante

• Valor. Um airdrop verificado pode valer pouco, e o preço pode cair rápido quando o token começa a ser negociado.
• Situação fiscal. A venda pode gerar imposto no Brasil. Nosso guia de imposto sobre airdrop explica o básico.
• Listagem ou deslistagem. Quem decide se você consegue vender numa corretora é a corretora. Veja como vender tokens de airdrop.
• Segurança da carteira depois. Um resgate real seguido de uma aprovação descuidada em outro lugar continua custando caro.
• Elegibilidade para você. O projeto pode ser honesto e você não receber nada. Página que promete que todo mundo se qualifica merece cuidado.

Use a pontuação sempre, não só quando algo parece suspeito; a campanha perigosa é a que parece normal. Se você já assinou algo de que agora desconfia, vá direto para o guia de revogação e denuncie o site no Chainabuse. Para resgatar com calma, veja como resgatar airdrop. Para uma introdução geral, leia o que é airdrop cripto.

Escrito e checado pela Equipe editorial do airdrop.promo. Método: como verificamos (EN). Achou um erro? contacts@airdrop.promo. Conteúdo educativo, não é recomendação financeira nem tributária.