Comece aqui: apareceu um NFT. E agora?
Quase todo mundo chega a esta página depois de ver na carteira um token que não comprou. Use a tabela antes de ler o resto. Ela diz o que fazer primeiro e o que não fazer.
| Situação | Provável significado | Primeiro passo |
|---|---|---|
| Apareceu sem nenhuma atividade sua, e o nome diz “claim”, “reward” ou mostra um endereço de site | Isca. A imagem ou o nome carrega um link. | Não visite o link. Oculte o item na carteira ou no marketplace. |
| Você usou um protocolo, e a página oficial dele anuncia um NFT para usuários | Pode ser recompensa real. | Confirme no site ou na documentação do projeto, aberto por um link que você digitou ou salvou. |
| Apareceu em muitas carteiras ao mesmo tempo, com a mesma arte | Distribuição em massa, geralmente spam. | Deixe quieto. Não liste, não transfira e não queime “para testar”. |
| Um site pede para aprovar ou assinar para “verificar” ou “resgatar” | Possível drainer. | Recuse o pedido. Se já assinou, vá agora para revogar aprovações. |
Como funcionam os airdrops de NFT
Um airdrop de NFT é a transferência de um ou mais tokens não fungíveis para uma lista de endereços. Existem três formatos de entrega comuns, e saber qual está na sua frente já diz quase tudo.
- Envio direto (push). Quem envia cria ou transfere o token direto para o seu endereço. Você não faz nada. É assim que chegam os NFTs não solicitados, e também algumas recompensas legítimas de comunidade.
- Claim. Você entra numa página oficial, conecta a carteira e assina uma transação de resgate. Um claim legítimo tem link no site do projeto e pede só o resgate, não aprovações amplas.
- Mint por allowlist. Seu endereço está numa lista e você faz o mint de graça ou pagando, dentro de uma janela. Nos dois casos você paga a taxa de rede.
Como quem envia escolhe a lista de destinatários, o token aparecer na sua carteira não diz nada sobre você. Qualquer um pode mandar qualquer coisa para qualquer endereço. Essa é a raiz do spam, e também o motivo de um projeto sério nunca usar um envio sem anúncio como única forma de avisar sobre uma recompensa. Para a ideia geral, veja o que é airdrop cripto.
Sinais de recompensa legítima
- Anunciada no site ou na documentação do projeto antes de chegar
- Ligada a algo que você fez, como usar o produto
- Página de claim acessada por link oficial, não pelo próprio token
- Pede apenas a assinatura do claim
Sinais de isca
- Nenhuma atividade sua, nenhum anúncio
- Nome ou imagem com endereço de site ou “visite para resgatar”
- O mesmo token em muitas carteiras sem relação
- Pressão: contagem regressiva, “limitado”, “verifique agora”
Os padrões por trás dos NFTs
Você vai ver estes nomes em carteiras e exploradores. Eles descrevem como o token se comporta, e importam para a segurança porque as funções de aprovação fazem parte deles.
| Padrão | Rede | O que diz a documentação oficial |
|---|---|---|
| ERC-721 | Ethereum e redes compatíveis | O ethereum.org descreve como o padrão de tokens não fungíveis, em que cada token é único. Cada um tem um tokenId, e o par endereço do contrato mais ID precisa ser único. Inclui approve para um token e setApprovalForAll para todos os tokens do dono naquele contrato. |
| ERC-1155 | Ethereum e redes compatíveis | Um contrato pode administrar tokens fungíveis, não fungíveis e semifungíveis, com transferências em lote. A aprovação usa setApprovalForAll e é tudo ou nada: não dá para limitar quantidade nem tipos de token. |
| Metaplex Token Metadata | Solana | Um NFT é uma conta de mint com oferta de um, zero casas decimais e sem autoridade de mint, mais uma conta de metadados com nome, criadores e uma URI que aponta para um arquivo JSON fora da blockchain. A Metaplex classifica esse programa como legado: ainda suportado, não recomendado para projetos novos. |
| Metaplex Core | Solana | Padrão mais novo, que as páginas da Metaplex recomendam para projetos novos. Cada ativo é uma conta única com titularidade, URI de metadados e dados de plugins. Os plugins podem rodar em eventos como criação, transferência e queima. |
Daí saem duas consequências de segurança. Em redes no estilo Ethereum, setApprovalForAll é a permissão que um site malicioso quer, porque uma única assinatura dá a um operador poder sobre todos os tokens que você tem naquele contrato. Na Solana, a URI dos metadados aponta para fora da blockchain, então nome, imagem ou texto que um marketplace mostra são dados fornecidos pelo criador do token, sem verificação da rede. Explicamos como desfazer permissões amplas em revogar aprovações de token.
Não encontramos declaração oficial da Metaplex sobre NFTs comprimidos nas páginas que abrimos, por isso este guia não trata deles.
Como achar airdrops de NFT legítimos
Recompensas legítimas em NFT são anunciadas antes de chegar. A nossa regra editorial é começar pelo projeto, nunca pelo token. Os passos abaixo seguem a ordem que usamos.
- Procure um anúncio de recompensa na documentação ou no blog oficial do projeto. Chegue lá por um favorito ou pela nossa lista de novos airdrops cripto, nunca por um link dentro do NFT.
- Compare o endereço do contrato do anúncio com o que está na sua carteira. Se o projeto não publica endereço, considere a questão em aberto.
- Compare o que você fez com os critérios anunciados. Se não consegue ligar a sua atividade aos critérios, desconfie.
- Use o site de claim só se o endereço bater com o da documentação oficial. O guia airdrop confiável traz o teste completo.
Para listas por rede, as nossas páginas de Ethereum e Solana acompanham campanhas que conferimos. O nosso método de verificação está em how we verify (em inglês).
Padrões de golpe com NFTs não solicitados
O site de claim
O nome ou a imagem do NFT manda você visitar um site. A própria OpenSea escreve que golpistas enviam NFTs indesejados cujos anúncios trazem links para sites maliciosos de terceiros, e que quem visita e interage pode cair em phishing e perder NFTs.
A aprovação ampla
Um site pede que você assine setApprovalForAll, muitas vezes descrito como “verificar” ou “listar”. Pelos padrões acima, isso dá a um operador controle sobre todos os seus tokens daquele contrato.
Os metadados envenenados
Os metadados do token podem conter texto ou um link externo. Quem define os metadados é o criador do token, sem verificação da rede, então trate qualquer link ou instrução ali como não confiável.
A “venda de teste”
Alguém insiste para você vender ou listar o NFT rápido por uma oferta alta, o que exige conectar a carteira num site que imita um marketplace. Oferta real em marketplace não depende de link na descrição do token.
A taxa pelo item grátis
O “claim” pede que você mande dinheiro primeiro, por cripto ou Pix. Airdrop legítimo não cobra para você receber, além da taxa de rede da sua própria transação de claim.
Incerteza honesta
Não conseguimos verificar um levantamento público de quantas vezes cada padrão acontece, então não os ordenamos por frequência. Trate os cinco como ativos.
O que fazer com NFTs que você não pediu
-
Não interaja
Nada de clicar em links, transferir, listar ou aprovar. Não cole o endereço da sua carteira em site mencionado pelo token.
-
Oculte onde aparecer
Use a opção de ocultar na carteira ou no perfil do marketplace. Muitas carteiras e exploradores têm filtro de spam próprio. Veja como o seu funciona na documentação.
-
Revise as aprovações
Se você usa a carteira com muitos apps de NFT, revise as aprovações ativas e revogue o que não usa mais.
-
Separe as carteiras
Use um endereço descartável para claims e guarde ativos de valor em outro lugar. Veja carteira burner para airdrops.
-
Denuncie, se a plataforma permitir
Marketplaces como a OpenSea têm políticas contra spam. Denunciar ajuda outras pessoas, mas é opcional.
Se quiser tentar um claim legítimo, o guia de carteira burner mostra uma configuração que limita o custo de um erro. O spam em marketplaces também aparece no guia geral de golpes de airdrop.
NFT grátis tem valor? E o imposto?
Alguns NFTs grátis têm mercado, muitos não. Um token listado não é necessariamente líquido, e o preço mínimo exibido num marketplace não é o preço pelo qual você conseguiria vender. Não damos opinião sobre preço.
No lado fiscal, o Perguntas e Respostas IRPF 2026 tem um código específico para NFTs na ficha Bens e Direitos: o código 10 do grupo 08, Criptoativos, com tipo, quantidade e local de custódia no campo Discriminação. A declaração é feita pelo valor de aquisição quando ele chega a R$ 5.000 por tipo de criptoativo. A IN RFB nº 2.291 inclui o airdrop entre as operações que podem ter de ser informadas na DeCripto. Nenhuma das fontes oficiais que abrimos trata de NFTs de spam que você não pediu. O que ajuda em qualquer cenário é registrar quando e como o token chegou. O guia imposto sobre airdrop tem uma planilha em reais. Não é orientação tributária.
Checklist antes de resgatar um airdrop de NFT
Passe por esta lista antes de conectar a carteira a qualquer coisa ligada a um NFT. As respostas ficam salvas só no seu navegador.
Antes de resgatar ou conectar
0/8
Uma regra prática da redação, marcada como opinião: quanto mais urgente a mensagem em torno de um NFT grátis, menor a chance de ser recompensa. Programas reais publicam critérios, datas e um contrato documentado. Isca publica contagem regressiva.
Fontes primárias
Fontes verificadas em 20 de out. de 2026. Os links levam às páginas oficiais dos projetos, não a resumos de outros sites.
- ethereum.org: padrão ERC-721 de token não fungívelethereum.org
- ethereum.org: padrão multitoken ERC-1155ethereum.org
- Metaplex: Token Metadatametaplex.com
- Metaplex: Coremetaplex.com
- Blog da OpenSea: ocultar transferências suspeitas de NFTblog-v3.opensea.io
- Receita Federal: Perguntas e Respostas IRPF 2026 (pergunta 473)gov.br
- Receita Federal: Instrução Normativa RFB nº 2.291/2025normasinternet2.receita.fazenda.gov.br
Perguntas frequentes
O que é airdrop de NFT?
É a distribuição de tokens não fungíveis para endereços de carteira, normalmente sem compra. Alguns são recompensas legítimas por atividade passada ou por ter outro ativo. Muitos são envios não solicitados para milhares de endereços de uma vez, e esses quase sempre são spam ou isca de golpe. O padrão do token só diz como ele funciona, não se é confiável.
NFT grátis na carteira é perigoso?
Receber, em geral, não é o problema. A OpenSea diz não ter visto caso em que apenas receber um NFT transferido causou atividade maliciosa por si só. O risco está em visitar um link do anúncio ou dos metadados, ou em assinar algum pedido. Se você não esperava o NFT, não clique, não conecte e não assine nada ligado a ele.
Devo queimar ou ocultar um NFT de spam?
Ocultar é o padrão de menor risco. A OpenSea descreve uma aba Hidden que funciona como pasta de spam, e reexibir o item não interage com o NFT. Queimar é uma transação on-chain que você assina, então acrescenta uma etapa e talvez uma taxa de gas. Se não sabe o que o contrato faz, oculte e deixe quieto.
O que é setApprovalForAll e por que importa?
É uma função dos padrões ERC-721 e ERC-1155 que deixa um endereço operador gerenciar todos os seus tokens daquele contrato. Segundo o ethereum.org, a aprovação no ERC-1155 é tudo ou nada. Um site malicioso que consiga a sua assinatura pode mover todos os NFTs da coleção. Dá para revisar e revogar aprovações com ferramentas de gestão de aprovações.
NFT recebido de graça precisa ir para o imposto de renda?
A Receita Federal tem um código próprio para NFTs na ficha Bens e Direitos, o 10 do grupo 08, com declaração pelo valor de aquisição quando ele chega a R$ 5.000 por tipo. As fontes oficiais que abrimos não tratam de NFTs não solicitados. Guarde hash e data de recebimento e veja o nosso guia de imposto. Não é orientação tributária.