Golpes de airdrop: como reconhecer e o que fazer se você caiu

Airdrop atrai golpista por um motivo simples: a vítima já espera ter de conectar a carteira e apertar um botão. O golpista só precisa fazer o botão fazer outra coisa, ou convencer você de que existe uma taxa a pagar antes. O resto desta página explica como essa troca é feita e como pegá-la a tempo.

Os formatos de golpe que você vai ver por aqui

A mecânica técnica é a mesma no mundo todo, mas a porta de entrada aqui tem sotaque. Estes são os formatos que você vai encontrar em grupos, DMs e comentários.

Falso suporte no WhatsApp e no Telegram

Você pergunta algo num grupo e, em minutos, um “moderador” ou “atendente” chama no privado, às vezes com foto e nome iguais aos da equipe. O ethereum.org alerta que impostores procuram quem pede ajuda em público e que a equipe real não aborda usuários por canais privados não oficiais. Toda mensagem privada não solicitada é hostil até prova em contrário. Os riscos do Telegram estão em airdrops no Telegram.

Taxa de liberação por Pix

“Seu airdrop de R$ 3.000 está pronto, só falta pagar a taxa de saque.” Depois da primeira taxa vem a segunda, de “imposto”, e a terceira, de “desbloqueio”. Detalhes na próxima seção.

Pirâmide com cara de airdrop

Você “ganha” tokens grátis ao se cadastrar, mas para sacar precisa depositar, comprar um plano ou trazer indicados. É pirâmide com outro nome.

Perfil falso de influenciador

Perfis clonados de criadores de conteúdo de cripto respondem comentários com links de “airdrop exclusivo”. O nome de usuário costuma ter uma letra trocada ou um sufixo. Influenciador de verdade não manda link de resgate por DM.

Token envenenado e NFT inesperado

Um token aparece na sua carteira com um site no nome ou na descrição. O ethereum.org lista essa variante: tokens ou NFTs não solicitados que levam a sites que pedem assinatura ou aprovação. Ignorar basta. Veja também airdrops de NFT.

Site falso e anúncio patrocinado

Domínios que diferem do real por uma letra, uma palavra a mais (“claim”, “rewards”) ou outra terminação, às vezes pagos para aparecer acima do link verdadeiro na busca. Salve o site oficial nos favoritos a partir da documentação e use sempre o favorito.

O golpe da taxa por Pix

Esse é o golpe mais simples de todos. Ninguém mexe na sua carteira; você mesmo manda o dinheiro. O roteiro tem três sinais fixos: um valor alto “esperando por você”, uma taxa pequena para liberar e um prazo curto. Um airdrop real nunca cobra nada fora da taxa de gas da própria rede, que é paga pela carteira, na transação, e não para uma chave Pix de pessoa física ou de uma empresa qualquer.

Se você já pagou, o tempo conta. Segundo o guia do Banco Central sobre o Mecanismo Especial de Devolução (MED), quem pagou deve abrir uma contestação no aplicativo da sua instituição, ou reclamar no canal de atendimento dela, relatando o golpe e pedindo a devolução. A transação original precisa ter ocorrido há no máximo 80 dias, e o app deve informar que você pode registrar reclamação no site do Banco Central se o caso não for resolvido. O próprio guia frisa que agilidade aumenta a chance de recuperar os recursos. Não há garantia de devolução, e nada disso vale para cripto enviada de uma carteira para outra: transferência on-chain não tem estorno.

Pirâmide disfarçada de airdrop

O formato mudou de roupa, mas a estrutura é antiga: o “rendimento” de quem entra vem do dinheiro de quem entra depois. A Lei nº 1.521/1951, no art. 2º, inciso IX, trata como crime contra a economia popular obter ou tentar obter ganhos ilícitos em detrimento de um número indeterminado de pessoas por processos fraudulentos como “bola de neve” e “cadeias”. Na página sobre criptoativos e forex, a CVM relata ofertas que prometem rentabilidade de 10%, 20% ou até 60% ao mês.

Sinais de que o “airdrop” é pirâmide:

• Os tokens grátis só podem ser sacados depois de um depósito ou da compra de um “plano”.
• O ganho cresce conforme você traz indicados, e não conforme você usa um produto.
• Há rendimento fixo diário ou mensal, como se fosse aplicação.
• O token só tem preço dentro da própria plataforma, sem negociação em nenhum outro lugar.

A CVM e a ANBIMA testaram o apelo dessas promessas com um site de corretora falsa: de 104 mil visitantes únicos, mais de 49 mil mostraram interesse em investir, segundo a CVM. Na mesma notícia, a ANBIMA aponta resultado garantido e senso de urgência como fortes indícios de fraude. Desconfiou de pirâmide, procure a polícia e o Ministério Público.

Anatomia de um drainer

Drainer é um kit vendido ou alugado a golpistas. Ele entrega uma página que imita o resgate real e um script que examina a carteira conectada, escolhe os ativos mais valiosos e monta o pedido de assinatura que vai movê-los. O kit pensa pelo golpista, então ele não precisa saber programar.

Repare no que falta: nenhuma senha, nenhuma frase-semente, nenhum vírus. Tudo acontece com recursos normais de carteira que apps reais também usam. Por isso a defesa se concentra na tela de assinatura e na origem do link.

O que a assinatura maliciosa faz

Quatro mecanismos explicam a maior parte das perdas. Todos são recursos normais descritos em padrões públicos.

• approve (ERC-20). O padrão EIP-20 permite autorizar um gastador a sacar tokens até um limite, várias vezes, usando transferFrom sem pedir de novo. O drainer pede aprovação para o próprio endereço, muitas vezes no valor máximo. O ethereum.org recomenda não conceder limites ilimitados.
• setApprovalForAll (NFT). Pela EIP-721, o operador aprovado pode fazer com os NFTs da coleção o que o dono faz, inclusive transferi-los. Página de resgate grátis não tem motivo para pedir isso.
• permit (EIP-2612). A EIP-2612 define uma permissão a partir de uma mensagem assinada, que qualquer um pode enviar à rede. Assinar não custa gas, então parece um login. Não há transação para conferir nem rastro no explorador até o golpista usar a assinatura.
• Permit2. Contrato da Uniswap que guarda permissões com valor e validade (documentação). O Revoke.cash observa que o Permit2 pode aprovar vários tokens de uma vez, o que dificulta entender o que se autoriza, e que sites de phishing exploram essa confusão.

Assinatura “às cegas”, de dados que a carteira não consegue mostrar de forma legível, entra na mesma categoria. Nossa regra editorial: gastador desconhecido, valor enorme ou pedido que não combina com a página são motivo de recusa, não um quebra-cabeça para resolver. Carteira dizendo “sem taxa” só informa que você não paga gas, não que a ação é segura.

A checagem de 10 segundos

Você não vai fazer perícia antes de cada resgate, mas consegue repetir uma rotina curta que bloqueia a maioria dos ataques. O progresso fica salvo só no seu navegador.

O passo da carteira burner pesa mais do que parece. Mesmo gente cuidadosa um dia assina algo errado; a questão é o que está exposto quando isso acontece. Veja o guia de carteira burner para montar uma do jeito certo.

Sinais de alerta: por que funcionam e o que fazer

Se você já caiu

Velocidade importa. Drainers costumam varrer em minutos, e alguns esperam. Siga esta ordem.

1. Pare de interagir. Feche a página e não assine mais nada, nem ofertas de “recuperação”.
2. Crie uma carteira nova num dispositivo ou perfil de navegador limpo. Nunca reaproveite uma frase-semente que foi digitada em algum lugar.
3. Mova o que ainda dá para mover. Envie os ativos de maior valor para a carteira nova. O gas sai da carteira exposta, então deixe um pouco do token nativo lá.
4. Revogue a aprovação em cada rede, como mostra o guia para revogar aprovações de token. O ethereum.org lembra que revogar exige uma transação e que desconectar a carteira não remove permissões (fonte).
5. Se digitou a frase-semente, considere a carteira perdida. Revogar não adianta, porque o golpista tem a chave. Migre tudo.
6. Denuncie. O Chainabuse aceita denúncias de endereços e URLs e diz que isso alerta a comunidade, mas não substitui investigação policial. Registre boletim de ocorrência; se houve Pix, conteste no banco também.

Trate todo resgate como hostil até rastrear o link até a documentação oficial, com o método de airdrop confiável. Para acompanhar o que está ativo, a lista de novos airdrops cripto é um ponto de partida melhor do que uma DM. E antes de resgatar, veja como resgatar airdrop. Entender o que é airdrop cripto de verdade torna os falsos muito mais fáceis de reconhecer.

Escrito e checado pela Equipe editorial do airdrop.promo. Método: como verificamos (EN). Achou um erro? contacts@airdrop.promo. Conteúdo educativo, não é recomendação financeira nem tributária.